CVE-2026-49265

Średnie

Opublikowano: —Przetłumaczono: 29/09/2026(UTC)NVD NIST

Streszczenie

W implementacji PKCE (RFC 7636) w przepływie Authorization Code Grant występuje podatność polegająca na pomiarze czasu (timing side-channel). Funkcja `code_challenge_method_plain` używa standardowego operatora `==` do porównywania ciągów znaków zamiast funkcji porównującej w czasie stałym, co może pozwolić na odgadnięcie wartości.

Ocena ryzyka

Atakujący przeprowadzający atak typu timing side-channel może potencjalnie odzyskać wrażliwe dane, takie jak code verifier, co może prowadzić do przejęcia sesji lub nieautoryzowanego dostępu.

Rekomendacja

Zaleca się zastąpienie porównań stringów funkcją porównującą w czasie stałym (np. `hmac.compare_digest`) w funkcji `code_challenge_method_plain` oraz w innych miejscach, gdzie porównywane są wrażliwe dane.

Inne podatności w oauthlib

CVE-2026-49264Średnie
Gdy włączona jest opcja `enable_jsonp=True`, funkcja `RevocationEndpoint` w bibliotece oauthlib odzwierciedla podany przez użytkownika parametr `callback` bezpośrednio w treści odpowiedzi JavaScript, zarówno w przypadku sukcesu, jak i błędu, bez weryfikacji, czy jest to poprawna nazwa funkcji JSONP. Umożliwia to generowanie dowolnego kodu JavaScript w odpowiedzi.

Oryginalny opis (angielski, źródło NVD)

## Summary A timing side-channel vulnerability exists in the PKCE (RFC 7636) implementation of the Authorization Code Grant flow. The `code_challenge_method_plain` function uses Python's standard `==` operator for string comparison instead of a constant-time comparison function, potentially allo

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS