CERT24PYSEC-2026-4358: Authlibi JWT-bearer-grandi auditooriumi valideerimise haavatavus
Authlibi versioonides enne 1.9.0 tagastab RFC 7523 JWTBearerGrant.get_audiences() vaikimisi tühja loendi. Seetõttu kontrollib verify_claims() ainult aud-väite olemasolu, mitte selle vastavust praegusele autoriseerimisserverile. Kehtiva teise teenuse jaoks väljastatud väitega ründaja võib seda kasutada sama allkirjastamisvõtit jagavas teises teenuses juurdepääsutokeni saamiseks. Probleem on parandatud versioonis 1.9.0.