Authlib 버전 1.7.2 이하 버전은 JWS 일반 JSON 직렬화에서 치명적인 서명 검증 우회 취약점을 가지고 있습니다. deserialize_json 함수는 빈 signatures 배열을 가진 JWS 객체를 잘못 수락합니다. 이로 인해 공격자는 서명 검증을 완전히 우회할 수 있습니다. 결과적으로, 서명되지 않은 데이터가 라이브러리에 의해 합법적으로 서명된 것처럼 처리됩니다. 공격자는 키 자료 없이 위조된 콘텐츠를 제공하여 이를 악용할 수 있습니다. 이 결함은 직접적인 JSON 역직렬화 및 문자열 역직렬화 메서드 모두에 영향을 미칩니다. 주요 영향은 공격자가 임의의 인증된 페이로드를 위조할 수 있다는 것입니다. 이는 위조된 신원 클레임을 주입하여 인증 우회 및 권한 상승으로 이어질 수 있습니다. JWS를 메시지 무결성에 사용하는 마이크로서비스도 주입 공격에 취약합니다. JWS를 권한 부여에 사용하는 시스템은 위조된 범위 또는 역할을 수락하도록 속일 수 있습니다. 현재 공급업체에 연락할 수 없어 공식 패치가 제공되지 않습니다. 사용자는 수정을 위해 Authlib의 GitHub 저장소를 모니터링하고 그에 따라 업데이트해야 합니다.