Veille sécuritéBackend & données
P3Élevée
Avant Authlib 1.9.1, une clé HMAC de longueur nulle peut être acceptée dans certains chemins de signature ou de vérification, ce qui peut rendre forgeables des jetons si l’application fournit effectivement une valeur vide. Mettre à jour vers Authlib 1.9.1.
Python
IdentifiantCVE-2026-114616
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.9.1
Source : NVD — CVE-2026-114616
Analyse technique
Le problème dépend notamment d’une application dont la recherche de secret peut renvoyer une chaîne ou des octets de longueur nulle.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-22T22:18:04Z, soit le 2026-10-23T00:18:04+02:00, dans la période retenue.
ImpactUn attaquant distant peut forger des jetons si l’application vulnérable utilise une clé vide pour la vérification.
Versions affectéesVersions antérieures à Authlib 1.9.1.
Version corrigée1.9.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
EPSS0,21% · percentile 10,9%
Publication2026-10-23T00:18:04+02:00
Mise à jour2026-10-23T21:34:14+02:00
Détection / vérification
Vérifier si les chemins de recherche ou de fourniture des secrets HMAC peuvent retourner une valeur vide.
Action recommandée
Mettre à jour Authlib vers la version 1.9.1 ou ultérieure et refuser les secrets vides dans l’application.
Sources
Priorisation DFS : P3 · 1 source(s).