CVE-2026-114617 El claim nonce_supported de un ID token permite desactivar su propia validación de nonce en Authlib

Qué es CVE-2026-114617

OpenIDMixin.parse_id_token() lee la decisión nonce_supported del propio ID token no confiable que se valida y establece el nonce esperado en null cuando ese claim es el booleano JSON false. En partes confiables de flujo implícito e híbrido, o en aplicaciones que aceptan directamente ID tokens externos, un atacante con un token válidamente firmado capturado puede eludir la vinculación nonce-sesión y reutilizar el token de la víctima en una sesión que controla. El flujo de código de autorización no está afectado y…

Productos y versiones afectadas

• authlib

  • < 1.9.0

Qué hacer

1. Verificá si usás authlib y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.2 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to 1.9.0, OpenIDMixin.parse_id_token() reads the nonce_supported decision from the untrusted ID token being validated and sets the expected nonce to null when that claim is the JSON boolean false. In implicit and hybrid relying parties, or applications that directly accept externally supplied ID tokens, an attacker with a captured validly signed token can bypass the nonce-to-session binding and replay the victim's token into an attacker-controlled session. Plain authorization code flow is not affected, and the token must still pass signature, issuer, and audience validation. OpenIDMixin.parse_id_token() trusts nonce_supported in both authlib/integrations/base_client/sync_openid.py and authlib/integrations/base_client/async_openid.py to disable the expected nonce. This issue is fixed in version 1.9.0.

Referencias

• github.com/authlib/authlib/security/advisories/GHSA-c5mf-xmp2-59rcX_REFSOURCE_CONFIRM
• github.com/authlib/authlib/pull/949X_REFSOURCE_MISC
• github.com/authlib/authlib/commit/6563f6f7a8c2f71d2f85ee7511d72a4fbae3acc0X_REFSOURCE_MISC
• github.com/authlib/authlib/releases/tag/v1.9.0X_REFSOURCE_MISC

Historial de la alerta

1. 22 OCT · 20:03VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.