CERT24PYSEC-2026-4359: Authlibi OpenID Connecti implitsiitse autoriseerimise ulatuse valideerimise viga
Authlibi versioonides enne 1.9.0 kontrollib OpenIDImplicitGrant.validate_authorization_request() kliendi esitatud töötlemata ulatust, mitte juba filtreeritud lubatud ulatust. Registreeritud OAuthi klient, kellel on lubatud ID-tokeni vastusetüüp ja profiiliulatus, kuid mitte openid-ulatus, võib lisada taotlusele openid ning pärast kasutaja nõusolekut saada allkirjastatud ID-tokeni.