Authlib 1.7.2 及之前版本在 JWS 通用 JSON 序列化中存在一个关键的签名验证绕过漏洞。deserialize_json 函数错误地接受了签名数组为空的 JWS 对象，这使得攻击者能够完全绕过签名验证。因此，未签名的数据会被视为由库合法签署。攻击者可以通过提供伪造内容并利用此漏洞，而无需任何密钥材料。此缺陷影响直接的 JSON 反序列化及字符串反序列化方法。主要影响是攻击者能够伪造任意经过身份验证的有效负载。这可能导致身份验证绕过和权限提升，通过注入伪造的身份声明实现。依赖 JWS 保证消息完整性的微服务也易受注入攻击。使用 JWS 进行授权的系统可能被诱骗接受伪造的作用域或角色。目前尚无官方补丁，因无法联系到供应商。用户应监控 Authlib 的 GitHub 仓库以获取修复方案并相应更新。