CVE-2026-49852— Authlib joserfc 信任管理问题漏洞
可能的 ATT&CK 技术 1AI
T1190 · Exploit Public-Facing Application获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-49852 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
joserfc: HS256/HS384/HS512 verify accepts empty/nil HMAC key (cross-language sibling of CVE-2026-45363)
来源: CVE Program / CVE List V5
Vulnerability Description
joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption (JOSE) standards. Prior to 1.6.8, joserfc.jwt.decode accepts attacker-forged HMAC-signed tokens when the caller-supplied verification key is the empty string or None, because HMACAlgorithm.sign and HMACAlgorithm.verify in src/joserfc/_rfc7518/jws_algs.py pass the output of OctKey.get_op_key(...) to hmac.new(...) and OctKey.import_key in src/joserfc/_rfc7518/oct_key.py only emits a SecurityWarning for keys shorter than 14 bytes without rejecting zero-length input. This issue is fixed in version 1.6.8.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
认证机制不恰当
来源: CVE Program / CVE List V5
Vulnerability Title
Authlib joserfc 信任管理问题漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Authlib joserfc是Authlib组织开源的一个 Python 库，全面实现了 JOSE（JSON Object Signing and Encryption）系列标准，包括 JWS、JWE、JWK、JWT 等 RFC 规范，用于安全地处理 JSON 数据的签名与加密。 Authlib joserfc 1.6.8之前版本存在安全漏洞，该漏洞源于HMAC签名验证时未拒绝零长度密钥输入，导致调用者提供的验证密钥为空字符串或None时接受攻击者伪造的HMAC签名令牌。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD
受影响产品
二、漏洞 CVE-2026-49852 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-49852 的情报信息
请登录查看更多情报信息。
CVE-2026-49852 补丁与修复 (2)
- 🔗 Release 1.6.8 · authlib/joserfc · GitHubx_refsource_MISC
CVE-2026-49852 厂商安全公告 (1)
IV. Related Vulnerabilities
V. Comments for CVE-2026-49852
暂无评论