CERT24PYSEC-2026-4356: Authlib aktsepteerib HMAC-võtmena tühja võtmematerjali
Authlibi OctKey.import_key() ning HMAC-i allkirjastamise ja kontrollimise rada aktsepteerivad enne versiooni 1.9.1 nullpikkusega võtmematerjali. Kui rakenduse salavõtme otsing võib tagastada tühja stringi või tühjad baidid, võib ründaja luua HS256-, HS384- või HS512-märgistele kehtivaid allkirju ja lasta Authlibil neid autentsetena käsitleda. Allikas kirjeldab rünnakuklassi ega kinnita reaalajas toimunud rünnakut.