PYSEC-2026-4359: ошибка проверки области действия при неявной авторизации OpenID Connect в Authlib

В версиях Authlib до 1.9.0 метод OpenIDImplicitGrant.validate_authorization_request() проверяет необработанную область действия, переданную клиентом, вместо уже отфильтрованной разрешённой области. Зарегистрированный OAuth-клиент, которому разрешён тип ответа с ID-токеном, но не разрешена область openid, может добавить openid в запрос и после согласия пользователя получить подписанный ID-токен.