CVE-2026-57178
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Python Social Auth przed wersją 5.0.0 w backendzie vk-app akceptuje dane zwrotne z aplikacji VK bez weryfikacji podpisu, gdy parametr auth_key jest pominięty. Atakujący może wysłać niepodpisane dane kontrolowane przez siebie i zostać uwierzytelnionym jako dowolny użytkownik VK. Problem dotyczy tylko aplikacji używających backendu vk-app. Poprawka w wersji 5.0.0 wymaga obecności i poprawności auth_key.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane uwierzytelnienie użytkowników, co może prowadzić do przejęcia kont i naruszenia integralności danych. Atakujący może podszyć się pod dowolnego użytkownika VK.
Rekomendacja
Należy zaktualizować Python Social Auth do wersji 5.0.0 lub nowszej. Jeśli nie jest to możliwe, należy wyłączyć backend vk-app lub dodać dodatkową weryfikację danych.
Inne podatności w Python Social Auth
Zobacz wszystkie- CVE-2026-115910Średnie
Python Social Auth to mechanizm uwierzytelniania i rejestracji społecznościowej. Przed wersją 6.2.0 OpenIdConnectAuth w social_core/backends/open_id_connect.py umieszcza nonce OpenID Connect w współdzielonej tabeli OpenIdConnectAssociation, a get_nonce i validate_claims sprawdzają tylko, czy nonce istnieje i nie wygasł, bez powiązania go z sesją przeglądarki i stanem OAuth. Atakujący, który uzyska nieużyty kod autoryzacyjny ofiary, może rozpocząć osobne logowanie, aby uzyskać ważny stan dla swojej przeglądarki, przesłać kod ofiary z tym stanem i przejść walidację nonce, ponieważ nonce ofiary jest globalnie dostępny. Przy wyłączonym DEFAULT_USE_PKCE atakujący może zostać zalogowany jako ofiara.
- CVE-2026-62322Średnie
Python Social Auth to mechanizm uwierzytelniania i rejestracji społecznościowej. W wersjach przed 5.0.2 backend LINE wymienia kod autoryzacyjny bez walidacji zwróconego stanu OAuth. Atakujący może rozpocząć autoryzację dla kontrolowanego konta LINE i nakłonić ofiarę do odwiedzenia wynikowego adresu URL callback, powodując zalogowanie ofiary na konto atakującego. Gdy włączone jest łączenie kont, ta sama luka może trwale powiązać tożsamość LINE atakującego z istniejącym kontem ofiary.
- CVE-2026-57179Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 mechanizm wznawiania częściowego potoku akceptował partial_token jako poświadczenie bez powiązania go z sesją przeglądarki, która go utworzyła. Aplikacje używające wznawialnych kroków częściowego potoku mogły pozwolić atakującemu na rozpoczęcie przepływu uwierzytelniania i zmuszenie przeglądarki ofiary do jego wznowienia.
- CVE-2026-57177Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 backend LoginRadius nie weryfikował parametru OAuth state podczas przepływu uwierzytelniania. Aplikacje korzystające z tego backendu były podatne na login CSRF, a atakujący mógł spowodować uwierzytelnienie przeglądarki ofiary przy użyciu kontrolowanego przez siebie tokenu LoginRadius.
- CVE-2026-57176Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 backend Vend OAuth2 używał wyłącznie numerycznego identyfikatora user_id jako UID w social-auth. Gdy wiele sklepów Vend uwierzytelnia się przez tę samą aplikację, użytkownicy z różnych sklepów o tym samym wewnętrznym identyfikatorze mogli kolidować w tabeli powiązań social-auth.
- CVE-2026-57175Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 backend SAML akceptował odpowiedzi SAML na punkcie Assertion Consumer Service bez sprawdzenia, czy odpowiadają wcześniej wysłanemu AuthnRequest. Aplikacje używające powiązania kont SAML mogły pozwolić atakującemu z ważnym kontem u zaufanego dostawcy tożsamości na powiązanie swojej tożsamości SAML z lokalnym kontem zalogowanej ofiary.
- CVE-2025-61783Średnie
Python Social Auth to mechanizm uwierzytelniania i rejestracji społecznościowej. W wersjach przed 5.6.0 użytkownik mógł zostać powiązany przez e-mail nawet bez potoku associate_by_email, co może prowadzić do przejęcia konta, gdy zewnętrzna usługa uwierzytelniania nie weryfikuje adresów e-mail lub nie wymaga ich unikalności. Wersja 5.6.0 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Python Social Auth is a social authentication/registration mechanism. Prior to version 5.0.0, the `vk-app` backend accepted VK application callback data without verifying the callback signature when the `auth_key` parameter was omitted. Applications using this backend could treat unsigned attacker-controlled data as a verified VK identity. An attacker could choose callback fields such as `viewer_id`, `access_token`, `api_id`, and `api_result`, potentially allowing authentication as an arbitrary VK user ID. The issue affects only applications using the `vk-app` backend. The issue has been fixed in version 5.0.0 by requiring `auth_key` to be present and valid before callback data is trusted.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS