CVE-2026-104056

9.8 Critique

Publiée le 01/10/2026 à 21:17 · Modifiée le 05/10/2026 à 21:17 · En attente d'analyse NVD · Source : cret@cert.org

Description

Authlib version 1.7.2 and below contains a vulnerability where discovery JSON metadata is cached without validation or issuer-origin binding. This allows a poisoned discovery response to replace all endpoint values with attacker-controlled values rather than endpoint URLs that share the origin of the configured server metadata URL.

Traduire en français

Produits concernés

Authlib

Scores CVSS

Version	Score	Source	Vecteur
3.1	9.8 Critique	134c704f-9b21-4f2e-91b3-4a467353bcc0	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

Faiblesses (CWE)

CWE-345
CWE-346
CWE-829

Références

https://uziii2208.github.io/post/cve-2026-104056/
https://uziii2208.github.io/post/cve-2026-104056/

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories