There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to 1.9.0,
    OpenIDImplicitGrant.validate_authorization_request() checks the client-controlled raw
    request.payload.scope for openid after the parent grant has filtered allowed scopes into request.scope. A
    registered client permitted an ID token response type but not the openid scope can add openid to the
    request, obtain user consent, and receive a signed ID token containing the user's subject and allowed
    profile claims. Authorization code flow and deployments that allow openid for every client permitted an ID
    token response are not affected. In authlib/oidc/core/grants/implicit.py,
    OpenIDImplicitGrant.validate_authorization_request() checks request.payload.scope instead of the filtered
    request.scope. This issue is fixed in version 1.9.0. (CVE-2026-114619)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Authlib 是一種 Python 程式庫，可構建 OAuth 和 OpenID Connect 伺服器。在之前， 1.9.0OpenIDImplicitGrant.validate_authorization_request（） 會在父項授權將允許的範圍篩選至 request.scope 之後，檢查用戶端控制的原始 request.payload.scope 是否有 openid。已註冊的用戶端允許 ID 記號回應類型，但不允許 openid 範圍可以將 openid 新增至要求、取得使用者同意，以及接收包含使用者主體及容許設定檔宣告的已簽署 ID 記號。容許每一個容許 ID 記號回應的用戶端使用 openid 的授權碼流程及部署不會受到影響。在 authlib/oidc/core/grants/implicit.py 中，OpenIDImplicitGrant.validate_authorization_request（） 會檢查 request.payload.scope，而不是篩選的 request.scope。1.9.0 版已修正此問題。(CVE-2026-114619)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Authlib 是构建 OAuth 和 OpenID Connect 服务器的 Python 库。在之前 1.9.0，在父授权将允许的范围过滤到 request.scope 中后，OpenIDImplicitGrant.validate_authorization_request（） 会检查客户端控制的原始 request.payload.scope 中的 openid。已注册的客户端允许 ID 标记响应类型，但不允许 openid 范围，可以将 openid 添加至请求、获得用户同意，以及接收包含用户主题和允许的配置文件声明的签名 ID 标记。允许每个客户端使用 openid（允许 ID 标记响应）的授权代码流和部署不受影响。在 authlib/oidc/core/grants/implicit.py 中，OpenIDImplicitGrant.validate_authorization_request（） 检查 request.payload.scope 而非筛选的 request.scope。此问题已在 1.9.0 版本中修复。(CVE-2026-114619)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Authlib は、OAuth および OpenID Connect サーバーを構築する Python ライブラリの一種です。1.9.0の前に、親権限が許可された範囲をrequest.scopeにフィルターした後、OpenIDImplicitGrant.validate_authorization_request()はopenidのクライアント制御の生のrequest.payload.scopeをチェックします。登録済みのクライアントは、ID トークンの応答タイプは許可していますが、openid の範囲は許可していませんが、openid をリクエストに追加し、ユーザーの同意を得て、ユーザーのサブジェクトおよび許可されたプロファイルクレームを含む署名付き ID トークンを受け取ることができます。許可されたすべてのクライアントに対して ID トークン応答に openid を許可する承認コードのフローとデプロイメントは、影響を受けません。authlib/oidc/core/grants/implicit.py で、OpenIDImplicitGrant.validate_authorization_request()はフィルタリングされたrequest.scopeではなくrequest.payload.scopeをチェックします。この問題はバージョン 1.9.0 で修正されています。(CVE-2026-114619)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Authlib is a Python library which builds OAuth and OpenID Connect servers. Prior to 1.9.0,     OpenIDImplicitGrant.validate_authorization_request() checks the client-controlled raw     request.payload.scope for openid after the parent grant has filtered allowed scopes into request.scope. A     registered client permitted an ID token response type but not the openid scope can add openid to the     request, obtain user consent, and receive a signed ID token containing the user's subject and allowed     profile claims. Authorization code flow and deployments that allow openid for every client permitted an ID     token response are not affected. In authlib/oidc/core/grants/implicit.py,     OpenIDImplicitGrant.validate_authorization_request() checks request.payload.scope instead of the filtered     request.scope. This issue is fixed in version 1.9.0. (CVE-2026-114619)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
477608	SCA: security update for authlib (GHSA-q686-2qmg-hqc7)	Tenable Cloud Security	SCA Checks	2026/10/27	2026/11/2	medium
477608	SCA: security update for authlib (GHSA-q686-2qmg-hqc7)	Tenable Self-Hosted Container Security	SCA Checks	2026/10/27	2026/11/2	medium
477753	Chainguard: py3.12-airflow-3: security update to 3.3.2-r11	Tenable Cloud Security	Chainguard Local Security Checks	2026/10/29	2026/11/2	medium
477753	Chainguard: py3.12-airflow-3: security update to 3.3.2-r11	Tenable Self-Hosted Container Security	Chainguard Local Security Checks	2026/10/29	2026/11/2	medium
371340	Linux Distros 未修補弱點：CVE-2026-114619	Nessus	Misc.	2026/10/23	2026/11/2	medium
371340	Linux Distros 未修补的漏洞：CVE-2026-114619	Nessus	Misc.	2026/10/23	2026/11/2	medium
371340	Linux Distros のパッチ未適用の脆弱性: CVE-2026-114619	Nessus	Misc.	2026/10/23	2026/11/2	medium
371340	Linux Distros Unpatched Vulnerability : CVE-2026-114619	Nessus	Misc.	2026/10/23	2026/11/2	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium