PYSEC-2026-4356: Authlib принимает ключевой материал HMAC нулевой длины

До версии 1.9.1 OctKey.import_key() и пути подписи и проверки HMAC в Authlib принимают ключевой материал нулевой длины. Если механизм получения секрета приложения может вернуть пустую строку или пустые байты, злоумышленник может создавать корректные подписи HS256, HS384 или HS512 для произвольных утверждений токена, и Authlib будет считать такие токены подлинными. Источник описывает класс атаки, но не подтверждает эксплуатацию в работающей системе.