p PatchFirst

CVE-2026-28498

CVE-2026-28498 · Authlib: Fail-Open Cryptographic Verification in OIDC Hash Binding

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to version 1.6.9, a library-level vulnerability was identified in the Authlib Python library concerning the validation of OpenID Connect (OIDC) ID Tokens. Specifically, the internal hash verification logic (_verify_hash) responsible for validating the at_hash (Access Token Hash) and c_hash (Authorization Code Hash) claims exhibits a fail-open behavior when encountering an unsupported or unknown cryptographic algorithm. This flaw allows an attacker to bypass mandatory integrity protections by supplying a forged ID Token with a deliberately unrecognized alg header parameter. The library intercepts the unsupported state and silently returns True (validation passed), inherently violating fundamental cryptographic design principles and direct OIDC specifications. This issue has been patched in version 1.6.9.

CVSS 8.2 · Élevée · EPSS 0,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · python

Produits et versions concernés

  • authlib

    Versions du logiciel
    • < 1.6.9: Concernée

    Aucun correctif publié

  • python-authlib Debian:12

    Versions du logiciel
    • 1.2.0-1
    • 1.2.0-1+deb12u1
    Plages de versions concernées
    • ECOSYSTEM: < 1.2.0-1+deb12u2

    Mettez à jour vers 1.2.0-1+deb12u2

  • python-authlib Debian:13

    Versions du logiciel
    • 1.6.0-1
    • 1.6.0-1+deb13u1
    • 1.6.1-1
    • 1.6.3-1
    • 1.6.4-1
    • 1.6.5-1
    • 1.6.6-1
    • 1.6.7-1
    • 1.6.8-1
    • 1.6.9-1
    • 1.7.0-1
    • 1.7.2-1
    • 1.7.2-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python-authlib Debian:14

    Versions du logiciel
    • 1.6.0-1
    • 1.6.1-1
    • 1.6.3-1
    • 1.6.4-1
    • 1.6.5-1
    • 1.6.6-1
    • 1.6.7-1
    • 1.6.8-1
    Plages de versions concernées
    • ECOSYSTEM: < 1.6.9-1

    Mettez à jour vers 1.6.9-1

  • authlib PyPI

    Versions du logiciel
    • 0.1
    • 0.10
    • 0.11
    • 0.12
    • 0.12.1
    • 0.13
    • 0.14
    • 0.14.1
    • 0.14.2
    • 0.14.3
    • 0.15
    • 0.15.1
    • 0.15.2
    • 0.15.3
    • 0.15.4
    • 0.15.5
    • 0.15.6
    • 0.1rc0
    • 0.2
    • 0.2.1
    • 0.3
    • 0.4
    • 0.4.1
    • 0.5
    • 0.5.1
    • 0.6
    • 0.7
    • 0.8
    • 0.9
    • 1.0.0
    • 1.0.0a1
    • 1.0.0a2
    • 1.0.0b1
    • 1.0.0b2
    • 1.0.0rc1
    • 1.0.1
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.4.0
    • 1.4.1
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    • 1.6.5
    • 1.6.6
    • 1.6.7
    • 1.6.8
    Plages de versions concernées
    • ECOSYSTEM: < 1.6.9

    Mettez à jour vers 1.6.9

  • python-authlib Ubuntu:Pro:22.04:LTS

    Versions du logiciel
    • 0.15.4-1
    • 0.15.5-1
    • 0.15.5-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: < 0.15.5-1ubuntu0.1~esm2

    Mettez à jour vers 0.15.5-1ubuntu0.1~esm2

  • python-authlib Ubuntu:Pro:24.04:LTS

    Versions du logiciel
    • 1.2.1-1
    • 1.3.0-1
    • 1.3.0-1ubuntu0.1~esm1
    Plages de versions concernées
    • ECOSYSTEM: < 1.3.0-1ubuntu0.1~esm2

    Mettez à jour vers 1.3.0-1ubuntu0.1~esm2

  • python-authlib Ubuntu:25.10

    Versions du logiciel
    • 1.5.1-1
    • 1.5.2-1
    • 1.6.0-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python-authlib Ubuntu:26.10

    Versions du logiciel
    • 1.6.7-1
    • 1.7.2-1
    • 1.7.2-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • python-authlib Ubuntu:Pro:26.04:LTS

    Versions du logiciel
    • 1.6.0-1
    • 1.6.5-1
    • 1.6.6-1
    • 1.6.7-1
    Plages de versions concernées
    • ECOSYSTEM: < 1.6.7-1ubuntu0.1~esm1

    Mettez à jour vers 1.6.7-1ubuntu0.1~esm1

Sources originales

Vérifiez votre serveur →