Python oic — это реализация Python OpenID Connect. В Python oic до версии 1.2.1 существует несколько связанных криптографических проблем, з…

Python oic — это реализация Python OpenID Connect. В Python oic до версии 1.2.1 существует несколько связанных криптографических проблем, затрагивающих клиентские реализации, использующие библиотеку. Проблемы: 1) Алгоритм подписи IdToken не проверялся автоматически, а только в том случае, если ожидаемый алгоритм был передан в качестве kwarg. 2) Алгоритм JWA `none` был разрешен во всех потоках. 3) oic.consumer.Consumer.parse_authz возвращает непроверенный IdToken. Проверка токена была оставлена на усмотрение разработчика. 4) Утверждение iat не проверялось на достоверность (т. е. оно могло быть в будущем). Эти проблемы исправлены в версии 1.2.1.