CVE-2026-49264
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W bibliotece OAuthLib w wersjach od 0.6.1 do 4.0.0, gdy opcja enable_jsonp=True jest włączona, punkt końcowy RevocationEndpoint odzwierciedla niezwalidowany parametr callback w odpowiedziach sukcesu i błędów. Pozwala to na wykonanie złośliwego kodu JavaScript w kontekście aplikacji ładującej odpowiedź jako zaufany JSONP, jeśli atakujący ma wpływ na wartość callback. Luka jest domyślnie wyłączona i dotyczy tylko wdrożeń z jawnie włączonym JSONP. Naprawiono w wersji 4.0.0.
Ocena ryzyka
Wdrożenia z włączonym JSONP są narażone na ataki XSS, które mogą prowadzić do kradzieży danych sesyjnych lub wykonania działań w imieniu użytkownika w kontekście aplikacji.
Rekomendacja
Zaktualizuj OAuthLib do wersji 4.0.0 lub nowszej; jeśli to niemożliwe, wyłącz obsługę JSONP (enable_jsonp=False) w konfiguracji.
Inne podatności w OAuthLib
Zobacz wszystkie- CVE-2026-118669Wysokie
W bibliotece OAuthLib przed wersją 4.0.0 procedury obsługi grantów client_credentials oraz Resource Owner Password Credentials mogą uwierzytelnić request.client jako jednego klienta poufnego, zachowując jednocześnie dostarczony przez atakującego request.client_id używany w validate_grant_type i validate_scopes. Klient z niższymi uprawnieniami może w ten sposób spowodować, że autoryzacja grantów i zakresów użyje tożsamości innego klienta, co może skutkować wydaniem tokenów z nieautoryzowanymi grantami lub zakresami.
- CVE-2026-49265Średnie
W bibliotece OAuthLib wersje od 3.0.0 do 4.0.0 mechanizm PKCE porównuje wartości code_verifier z zapisanymi wyzwaniami przy użyciu zwykłego porównania ciągów znaków, co może ujawniać informacje o czasie wspólnego prefiksu. Potencjalnie umożliwia to odzyskanie code_verifier, nieautoryzowane pozyskanie tokenu dostępu i przejęcie konta, choć praktyczne wykorzystanie wymaga przechwycenia jednorazowego kodu autoryzacji i wielu pomiarów. Luka została naprawiona w wersji 4.0.0.
Oryginalny opis (angielski, źródło NVD)
OAuthLib is an implementation of the OAuth request-signing logic for Python 3.6+. From 0.6.1 until 4.0.0, OAuthLib's RevocationEndpoint in oauthlib/oauth2/rfc6749/endpoints/revocation.py reflects an unvalidated callback request parameter into success and error response bodies when enable_jsonp=True. The callback can come from the query string or request body and is used without restricting it to a legal JavaScript function name. A browser application that loads the revocation response as trusted JSONP and permits attacker influence over callback can therefore execute attacker-controlled JavaScript in the including application's origin, with access to its DOM and script-accessible data. The feature is disabled by default, so only deployments that explicitly enable JSONP are affected. This issue is fixed in version 4.0.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS