PYSEC-2026-4360: Authlib передаёт request_uri без проверки в RFC 9101

В версиях Authlib до 1.9.0 JWTAuthenticationRequest для RFC 9101 передаёт неаутентифицированный параметр request_uri, контролируемый клиентом, в хук get_request_object() до применения политики назначения или регистрации. Если интеграция реализует этот хук как неограниченный исходящий запрос, показанный в документации, злоумышленник, знающий действительный публичный идентификатор клиента, может заставить сервер авторизации обращаться к внутренним, link-local или иным непредусмотренным URL. Проблема исправлена в версии 1.9.0.