CERT24PYSEC-2026-4360: Authlibi RFC 9101 request_uri valideerimata edastamine
Authlibi versioonides enne 1.9.0 edastab RFC 9101 JWTAuthenticationRequest autentimata ja kliendi kontrollitava request_uri parameetri get_request_object() konksule enne sihtkoha- või registreerimispoliitika rakendamist. Kui integratsioon rakendab seda konksu dokumentatsiooni kohaselt piiramatu väljamineva päringuna, võib ründaja kehtiva avaliku kliendi identifikaatori teadmisel põhjustada autoriseerimisserveri päringuid sisemistele, link-local- või muudele soovimatutele URL-idele. Probleem on parandatud versioonis 1.9.0.