タグ
#auth-bypass
Authlib 1.9.0で修正されたJWS署名バイパス（CVE-2026-96760）
Authlib 1.8.0以前は、signaturesが空のJWS JSONオブジェクトを、鍵を確認せずに検証済みとして扱います。重大度クリティカルのCVE-2026-96760（CVSS 9.1）で、1.9.0で修正されています。
2026年10月27日
EchoのWebSocketプロキシ認証バイパス（GHSA-cxf3-9h37-7rr8）
EchoのProxyミドルウェアを通るWebSocketアップグレードが拒否されても、上流への生のトンネルが開いたままになります。同じ接続上の後続HTTPリクエストはEchoのルーターとルートミ...
2026年10月24日