PYSEC-2026-4358: уязвимость проверки аудитории JWT bearer в Authlib

До версии 1.9.0 метод Authlib RFC 7523 JWTBearerGrant.get_audiences() по умолчанию возвращает пустой список. Поэтому verify_claims() проверяет только наличие утверждения aud, но не его соответствие текущему серверу авторизации. Злоумышленник с действительным утверждением для другого сервиса может предъявить его другому сервису, использующему тот же ключ подписи, и получить токен доступа. Проблема исправлена в версии 1.9.0.