Authlib で、署名のない JWS や偽造した JWT が検証済みとして通る

何が起きたか

JsonWebSignature.deserialize_json() が signatures を空配列にした JWS JSON を、鍵も署名も確かめずに検証成功として返します。あわせて、先頭に改行や空白が付いた PEM 公開鍵が HMAC の秘密鍵として使われてしまう問題（CVE-2024-37568 の修正漏れ）と、空の HMAC 鍵を受け付けて HS256/HS384/HS512 のトークンを誰でも偽造できる問題も公表されました。