CVE-2026-96760: обход проверки подписи в библиотеке Authlib
В библиотеке Authlib (версии 1.7.2 и ниже) обнаружена уязвимость обхода проверки подписи. Метод JsonWebSignature.deserialize_json() возвращает полезную нагрузку как успешно проверенную без фактической проверки подписи и без криптографического ключа. Уязвимость затрагивает приложения, использующие JSON-сериализацию JWS для аутентификации и проверки токенов.
Подробности
Уязвимость затрагивает Authlib версий 1.7.2 и ниже. Причиной является некорректная реализация метода JsonWebSignature.deserialize_json(), который принимает объект JWS в формате JSON Serialization. Вместо полноценной верификации подписи метод возвращает полезную нагрузку (payload) как успешно проверенную — без проверки самой подписи и без необходимости в криптографическом ключе. JWS (JSON Web Signature) — стандарт, широко используемый для защиты токенов доступа, идентификаторов и других данных, передаваемых между сервисами. Обычно проверка подписи гарантирует, что содержимое токена не было подделано и исходит от доверенной стороны. В данном случае эта гарантия полностью теряется: злоумышленник, способный передать приложению специально сформированный JSON-объект JWS, может заставить его принять произвольные данные как валидные. Тип уязвимости — обход проверки подписи (signature verification bypass). Оценка CVSS в записи CVE не указана, однако с учётом того, что эксплуатация не требует знания ключа и приводит к обходу ключевого механизма доверия, критичность следует рассматривать как высокую. Особенно опасна уязвимость в сценариях, где на основе проверенного JWS принимаются решения об аутентификации и авторизации.Что делать
Основная рекомендация — обновить Authlib до версии, в которой уязвимость устранена. Если обновление невозможно в кратчайшие сроки, следует рассмотреть следующие меры: - отказаться от использования JsonWebSignature.deserialize_json() для обработки недоверенных данных; - применять форматы сериализации JWS с обязательной явной проверкой подписи и указанием ключа; - добавить дополнительную валидацию входных JWS-объектов на уровне приложения, не полагаясь исключительно на результат метода; - ограничить приём токенов из недоверенных источников и усилить мониторинг подозрительной активности аутентификации. Также рекомендуется проверить, не использовался ли уязвимый метод в существующем коде, и при необходимости провести ревизию логики проверки токенов. Итог: CVE-2026-96760 — серьёзная уязвимость обхода проверки подписи в Authlib, позволяющая принимать поддельные JWS-объекты как валидные без ключа. Приоритет — как можно более быстрое обновление библиотеки.Источник: CVE Project (cvelistV5)