CVE-2026-32714：SciTokens < 1.9.6 SQL注入漏洞

scitokens 中的 CVE-2026-32714 存在着 SQL 注入的重大风险。src/scitokens/utils/keycache.py 中的脆弱代码使用 Python 的 str.format() 函数来构建 SQL 查询，并包含用户提供的数据，例如 issuer 和 key_id。这种做法允许攻击者将恶意 SQL 代码注入到查询中，从而可能对本地 SQLite 数据库执行任意命令。潜在影响包括数据丢失、数据修改、拒绝服务以及在某些情况下未经授权访问敏感信息。版本 1.9.6 解决了此漏洞，因此强烈建议立即更新。

Applications that rely on the scitokens library for authentication or authorization, particularly those using SQLite as their database backend, are at risk. Systems with older, unpatched versions of scitokens are especially vulnerable. Development environments and testing systems using scitokens should also be prioritized for patching.

• python / library:

import os
import sqlite3

def check_scitokens_version():
    try:
        import scitokens
        version = scitokens.__version__
        if version <= '1.8.1':
            print(f"scitokens version is vulnerable: {version}")
        else:
            print(f"scitokens version is patched: {version}")
    except ImportError:
        print("scitokens is not installed.")

check_scitokens_version()

• python / file: Examine src/scitokens/utils/keycache.py for instances of str.format() used with user-supplied data in SQL queries. • generic web: Monitor application logs for unusual SQL errors or database activity that might indicate an attempted SQL Injection attack.

1. 2026-03-31Disclosure

   disclosure

2. 2026-03-31PoC

   poc

3. 2026-03-31Patch

   patch

1. 已保留2026-03-13
2. 发布日期2026-03-31
3. EPSS 更新日期2026-04-07

CVE-2026-32714 的主要缓解措施是将 scitokens 库更新到 1.9.6 或更高版本。此版本包含一项修正，通过使用安全的方法构建 SQL 查询（例如使用预处理语句）来防止 SQL 注入。此外，重要的是检查您的应用程序代码，以识别任何其他用户提供的数据用于构建 SQL 查询的实例，并应用类似的安全性措施。实施应用程序依赖项的定期更新策略对于维持安全性至关重要。