CVE-2026-115910
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Python Social Auth to mechanizm uwierzytelniania i rejestracji społecznościowej. Przed wersją 6.2.0 OpenIdConnectAuth w social_core/backends/open_id_connect.py umieszcza nonce OpenID Connect w współdzielonej tabeli OpenIdConnectAssociation, a get_nonce i validate_claims sprawdzają tylko, czy nonce istnieje i nie wygasł, bez powiązania go z sesją przeglądarki i stanem OAuth. Atakujący, który uzyska nieużyty kod autoryzacyjny ofiary, może rozpocząć osobne logowanie, aby uzyskać ważny stan dla swojej przeglądarki, przesłać kod ofiary z tym stanem i przejść walidację nonce, ponieważ nonce ofiary jest globalnie dostępny. Przy wyłączonym DEFAULT_USE_PKCE atakujący może zostać zalogowany jako ofiara.
Ocena ryzyka
Atakujący może przejąć konto ofiary, wykorzystując jej nieużyty kod autoryzacyjny i globalnie dostępny nonce, co prowadzi do nieuprawnionego dostępu.
Rekomendacja
Zaktualizuj Python Social Auth do wersji 6.2.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Python Social Auth
Zobacz wszystkie- CVE-2026-62322Średnie
Python Social Auth to mechanizm uwierzytelniania i rejestracji społecznościowej. W wersjach przed 5.0.2 backend LINE wymienia kod autoryzacyjny bez walidacji zwróconego stanu OAuth. Atakujący może rozpocząć autoryzację dla kontrolowanego konta LINE i nakłonić ofiarę do odwiedzenia wynikowego adresu URL callback, powodując zalogowanie ofiary na konto atakującego. Gdy włączone jest łączenie kont, ta sama luka może trwale powiązać tożsamość LINE atakującego z istniejącym kontem ofiary.
- CVE-2026-57179Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 mechanizm wznawiania częściowego potoku akceptował partial_token jako poświadczenie bez powiązania go z sesją przeglądarki, która go utworzyła. Aplikacje używające wznawialnych kroków częściowego potoku mogły pozwolić atakującemu na rozpoczęcie przepływu uwierzytelniania i zmuszenie przeglądarki ofiary do jego wznowienia.
- CVE-2026-57178Wysokie
Python Social Auth przed wersją 5.0.0 w backendzie vk-app akceptuje dane zwrotne z aplikacji VK bez weryfikacji podpisu, gdy parametr auth_key jest pominięty. Atakujący może wysłać niepodpisane dane kontrolowane przez siebie i zostać uwierzytelnionym jako dowolny użytkownik VK. Problem dotyczy tylko aplikacji używających backendu vk-app. Poprawka w wersji 5.0.0 wymaga obecności i poprawności auth_key.
- CVE-2026-57177Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 backend LoginRadius nie weryfikował parametru OAuth state podczas przepływu uwierzytelniania. Aplikacje korzystające z tego backendu były podatne na login CSRF, a atakujący mógł spowodować uwierzytelnienie przeglądarki ofiary przy użyciu kontrolowanego przez siebie tokenu LoginRadius.
- CVE-2026-57176Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 backend Vend OAuth2 używał wyłącznie numerycznego identyfikatora user_id jako UID w social-auth. Gdy wiele sklepów Vend uwierzytelnia się przez tę samą aplikację, użytkownicy z różnych sklepów o tym samym wewnętrznym identyfikatorze mogli kolidować w tabeli powiązań social-auth.
- CVE-2026-57175Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 backend SAML akceptował odpowiedzi SAML na punkcie Assertion Consumer Service bez sprawdzenia, czy odpowiadają wcześniej wysłanemu AuthnRequest. Aplikacje używające powiązania kont SAML mogły pozwolić atakującemu z ważnym kontem u zaufanego dostawcy tożsamości na powiązanie swojej tożsamości SAML z lokalnym kontem zalogowanej ofiary.
- CVE-2025-61783Średnie
Python Social Auth to mechanizm uwierzytelniania i rejestracji społecznościowej. W wersjach przed 5.6.0 użytkownik mógł zostać powiązany przez e-mail nawet bez potoku associate_by_email, co może prowadzić do przejęcia konta, gdy zewnętrzna usługa uwierzytelniania nie weryfikuje adresów e-mail lub nie wymaga ich unikalności. Wersja 5.6.0 zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Python Social Auth is a social authentication and registration mechanism. Prior to 6.2.0, OpenIdConnectAuth in social_core/backends/open_id_connect.py uses get_and_store_nonce to place the OpenID Connect nonce in a shared OpenIdConnectAssociation table, and get_nonce and validate_claims verify only that the nonce exists and has not expired rather than binding it to the browser session and OAuth state that initiated the login. An attacker who obtains a victim's unused authorization code can start a separate login to obtain valid state for the attacker's browser, submit the victim's code with that state, and pass nonce validation because the victim nonce is globally available. With DEFAULT_USE_PKCE disabled in the default OpenIdConnectAuth configuration, the attacker can be logged in as the victim. This issue is fixed in version 6.2.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS