В версиях Authlib до 1.7.2 включительно существует критическая уязвимость обхода проверки подписи в общей JSON-сериализации JWS. Функция deserialize_json некорректно принимает объекты JWS с пустым массивом подписей. Это позволяет злоумышленникам полностью обойти проверку подписи. Следовательно, неподписанные данные обрабатываются библиотекой так, как если бы они были законно подписаны. Злоумышленники могут использовать это, предоставляя поддельный контент без необходимости наличия каких-либо ключевых материалов. Эта уязвимость затрагивает как прямые методы десериализации JSON, так и методы десериализации строк. Основное последствие — возможность для злоумышленников подделывать произвольные аутентифицированные полезные нагрузки. Это может привести к обходу аутентификации и повышению привилегий путем внедрения поддельных утверждений личности. Микросервисы, полагающиеся на JWS для обеспечения целостности сообщений, также уязвимы для атак внедрения. Системы, использующие JWS для авторизации, могут быть обмануты и принять поддельные области действия или роли. На данный момент официальный патч недоступен, поскольку связаться с поставщиком не удалось. Пользователям следует следить за репозиторием Authlib на GitHub в поисках исправления и своевременно обновляться.