CVE-2026-114619 Validación incorrecta del scope en OpenIDImplicitGrant de Authlib permite emitir ID tokens sin permiso

Qué es CVE-2026-114619

OpenIDImplicitGrant.validate_authorization_request() verifica el scope sin filtrar controlado por el cliente (request.payload.scope) en lugar del scope permitido ya filtrado. Un cliente registrado al que se le permite un tipo de respuesta con ID token pero no el scope openid puede agregar openid a la solicitud, obtener el consentimiento del usuario y recibir un ID token firmado con el sujeto del usuario y los claims de perfil permitidos. El flujo de código de autorización no está afectado y se corrige en la…

Productos y versiones afectadas

• authlib

  • < 1.9.0

Qué hacer

1. Verificá si usás authlib y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.6 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to 1.9.0, OpenIDImplicitGrant.validate_authorization_request() checks the client-controlled raw request.payload.scope for openid after the parent grant has filtered allowed scopes into request.scope. A registered client permitted an ID token response type but not the openid scope can add openid to the request, obtain user consent, and receive a signed ID token containing the user's subject and allowed profile claims. Authorization code flow and deployments that allow openid for every client permitted an ID token response are not affected. In authlib/oidc/core/grants/implicit.py, OpenIDImplicitGrant.validate_authorization_request() checks request.payload.scope instead of the filtered request.scope. This issue is fixed in version 1.9.0.

Referencias

• github.com/authlib/authlib/security/advisories/GHSA-q686-2qmg-hqc7X_REFSOURCE_CONFIRM
• github.com/authlib/authlib/pull/945X_REFSOURCE_MISC
• github.com/authlib/authlib/commit/e3bd41cb29dcfee434453b135ffb487884baeedfX_REFSOURCE_MISC
• github.com/authlib/authlib/releases/tag/v1.9.0X_REFSOURCE_MISC

Historial de la alerta

1. 22 OCT · 20:03VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.