Authlib : vérification incorrecte du périmètre OpenID dans le flux implicite

Veille sécuritéBackend & données

P4Moyenne

Dans Authlib avant 1.9.0, le flux OpenID implicite vérifie la présence de `openid` dans le périmètre brut fourni par le client plutôt que dans les périmètres autorisés après filtrage. Un client enregistré avec une réponse ID token mais sans autorisation du périmètre `openid` peut ainsi obtenir un ID token contenant le sujet de l’utilisateur et des attributs de profil autorisés.

IdentifiantCVE-2026-114619

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.9.0

Source : NVD — CVE-2026-114619

Analyse technique

OpenIDImplicitGrant.validate_authorization_request() examine request.payload.scope au lieu de request.scope, qui contient les périmètres filtrés.

Impact, versions et correctif

Événement datéPublication NVD le 2026-10-22T22:18:04.930Z, soit le 2026-10-23 à 00:18:04.930+02:00, dans la période demandée.

ImpactUn client peut obtenir un ID token alors que le périmètre `openid` ne lui a pas été accordé.

Versions affectéesAuthlib avant 1.9.0

Version corrigée1.9.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.6

EPSS0,16% · percentile 4,5%

Publication2026-10-23T00:18:04.930+02:00

Mise à jour2026-10-23T21:34:14.170+02:00

Détection / vérification

Vérifier les clients autorisés à demander des réponses contenant un jeton ID et leurs scopes OpenID autorisés.

Action recommandée

Mettre Authlib à niveau vers la version 1.9.0 ou ultérieure.

Sources

NVD — CVE-2026-114619

Priorisation DFS : P4 · 1 source(s).