CVE-2025-65430

ŚrednieCVSS 5.4

Opublikowano: 15/12/2025(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

W bibliotece allauth-django przed wersją 65.13.0 występuje problem z unieważnianiem tokenów. Oznaczenie użytkownika jako is_active=False po wcześniejszym wydaniu mu tokenów nie powodowało odrzucenia tych tokenów. W wersji 65.13.0 naprawiono to tak, że tokeny dostępu i odświeżania są teraz odrzucane.

Ocena ryzyka

Dezaktywowane konto użytkownika mogło nadal uzyskiwać dostęp do chronionych zasobów przy użyciu wcześniej wydanych tokenów, co narusza kontrolę dostępu. Organizacja może być narażona na nieautoryzowany dostęp ze strony zablokowanych użytkowników.

Rekomendacja

Zaktualizuj allauth-django do wersji 65.13.0 lub nowszej. Po aktualizacji rozważ unieważnienie wszystkich aktywnych tokenów wydanych przed dezaktywacją kont.

Inne podatności w allauth-django

CVE-2025-65431Średnie
W bibliotece allauth-django przed wersją 65.13.0 zarówno Okta, jak i NetIQ używały preferred_username jako identyfikatora kont dostawców zewnętrznych. Wartość ta może być zmienna i nie powinna być używana do decyzji autoryzacyjnych. Dostawcy używają teraz sub zamiast preferred_username.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in allauth-django before 65.13.0. IdP: marking a user as is_active=False after having handed tokens for that user while the account was still active had no effect. Fixed the access/refresh tokens are now rejected.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS