CVE-2026-49264

Średnie

Opublikowano: —Przetłumaczono: 29/09/2026(UTC)NVD NIST

Streszczenie

Gdy włączona jest opcja `enable_jsonp=True`, funkcja `RevocationEndpoint` w bibliotece oauthlib odzwierciedla podany przez użytkownika parametr `callback` bezpośrednio w treści odpowiedzi JavaScript, zarówno w przypadku sukcesu, jak i błędu, bez weryfikacji, czy jest to poprawna nazwa funkcji JSONP. Umożliwia to generowanie dowolnego kodu JavaScript w odpowiedzi.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego skryptu, co może prowadzić do ataków XSS lub kradzieży danych użytkowników w kontekście aplikacji korzystającej z oauthlib.

Rekomendacja

Zaleca się wyłączenie obsługi JSONP, jeśli nie jest niezbędna, oraz dodanie walidacji parametru `callback` w celu dopuszczenia tylko dozwolonych nazw funkcji (np. zgodnych z wzorcem `[A-Za-z0-9_.]+`).

Inne podatności w oauthlib

CVE-2026-49265Średnie
W implementacji PKCE (RFC 7636) w przepływie Authorization Code Grant występuje podatność polegająca na pomiarze czasu (timing side-channel). Funkcja `code_challenge_method_plain` używa standardowego operatora `==` do porównywania ciągów znaków zamiast funkcji porównującej w czasie stałym, co może pozwolić na odgadnięcie wartości.

Oryginalny opis (angielski, źródło NVD)

### Summary When `enable_jsonp=True`, oauthlib's `RevocationEndpoint` reflects the user-supplied `callback` parameter directly into JavaScript response bodies on both success and error paths without validating that it is a legal JSONP callback name. This allows arbitrary JavaScript response generat

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS