CVE-2025-65431

ŚrednieCVSS 5.4

Opublikowano: 15/12/2025(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

W bibliotece allauth-django przed wersją 65.13.0 zarówno Okta, jak i NetIQ używały preferred_username jako identyfikatora kont dostawców zewnętrznych. Wartość ta może być zmienna i nie powinna być używana do decyzji autoryzacyjnych. Dostawcy używają teraz sub zamiast preferred_username.

Ocena ryzyka

Użycie zmiennej wartości preferred_username do decyzji autoryzacyjnych może pozwolić atakującemu na podszycie się pod innego użytkownika poprzez zmianę nazwy użytkownika. Może to prowadzić do nieautoryzowanego dostępu do zasobów.

Rekomendacja

Zaktualizuj allauth-django do wersji 65.13.0 lub nowszej, która używa sub jako identyfikatora. Sprawdź konfigurację dostawców Okta i NetIQ pod kątem użycia preferred_username w istniejących integracjach.

Inne podatności w allauth-django

CVE-2025-65430Średnie
W bibliotece allauth-django przed wersją 65.13.0 występuje problem z unieważnianiem tokenów. Oznaczenie użytkownika jako is_active=False po wcześniejszym wydaniu mu tokenów nie powodowało odrzucenia tych tokenów. W wersji 65.13.0 naprawiono to tak, że tokeny dostępu i odświeżania są teraz odrzucane.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in allauth-django before 65.13.0. Both Okta and NetIQ were using preferred_username as the identifier for third-party provider accounts. That value may be mutable and should therefore be avoided for authorization decisions. The providers are now using sub instead.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS