Authlib : validation insuffisante de l’audience des assertions JWT Bearer

Veille sécuritéBackend & données

P4Moyenne

Dans Authlib avant 1.9.0, l’audience par défaut du flux JWT Bearer RFC 7523 est vide et la validation exige seulement la présence d’une revendication `aud`. Un détenteur d’une assertion destinée à un autre service peut alors obtenir un jeton sur un serveur partageant la clé de signature, si celui-ci utilise le comportement par défaut.

IdentifiantCVE-2026-114618

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.9.0

Source : NVD — CVE-2026-114618

Analyse technique

JWTBearerGrant.get_audiences() renvoie une liste vide par défaut, de sorte que verify_claims() ne vérifie pas que `aud` correspond au serveur d’autorisation.

Impact, versions et correctif

Événement datéPublication NVD le 2026-10-22T22:18:04.747Z, soit le 2026-10-23 à 00:18:04.747+02:00, dans la période demandée.

ImpactUne assertion légitime destinée à un autre service peut franchir une frontière de confiance et permettre l’obtention d’un jeton d’accès.

Versions affectéesAuthlib avant 1.9.0

Version corrigée1.9.0

ContournementDéfinir explicitement les audiences valides du serveur dans une surcharge de get_audiences().

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.8

EPSS0,22% · percentile 12,4%

Publication2026-10-23T00:18:04.747+02:00

Mise à jour2026-10-23T21:34:14.170+02:00

Détection / vérification

Vérifier les serveurs d’autorisation utilisant JWTBearerGrant sans redéfinir get_audiences().

Action recommandée

Mettre Authlib à niveau vers la version 1.9.0 ou ultérieure, ou définir explicitement les audiences autorisées.

Sources

NVD — CVE-2026-114618

Priorisation DFS : P4 · 1 source(s).