CVE-2026-57179
ŚrednieCVSS 4.2Streszczenie
W bibliotece Python Social Auth w wersjach przed 5.0.0 mechanizm wznawiania częściowego potoku akceptował partial_token jako poświadczenie bez powiązania go z sesją przeglądarki, która go utworzyła. Aplikacje używające wznawialnych kroków częściowego potoku mogły pozwolić atakującemu na rozpoczęcie przepływu uwierzytelniania i zmuszenie przeglądarki ofiary do jego wznowienia.
Ocena ryzyka
Może to spowodować uwierzytelnienie przeglądarki ofiary jako konto atakującego, prowadząc do przejęcia sesji lub nieautoryzowanego dostępu. Problem dotyczy kroków takich jak mail_validation lub własnych kroków z dekoratorem @partial.
Rekomendacja
Zaktualizuj Python Social Auth do wersji 5.0.0 lub nowszej, która wiąże wznowienie częściowego potoku z sesją przeglądarki. Sprawdź, czy aplikacja używa wznawialnych kroków częściowego potoku.
Inne podatności w Python Social Auth
Zobacz wszystkie- CVE-2026-57178Wysokie
Python Social Auth przed wersją 5.0.0 w backendzie vk-app akceptuje dane zwrotne z aplikacji VK bez weryfikacji podpisu, gdy parametr auth_key jest pominięty. Atakujący może wysłać niepodpisane dane kontrolowane przez siebie i zostać uwierzytelnionym jako dowolny użytkownik VK. Problem dotyczy tylko aplikacji używających backendu vk-app. Poprawka w wersji 5.0.0 wymaga obecności i poprawności auth_key.
- CVE-2026-57177Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 backend LoginRadius nie weryfikował parametru OAuth state podczas przepływu uwierzytelniania. Aplikacje korzystające z tego backendu były podatne na login CSRF, a atakujący mógł spowodować uwierzytelnienie przeglądarki ofiary przy użyciu kontrolowanego przez siebie tokenu LoginRadius.
- CVE-2026-57176Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 backend Vend OAuth2 używał wyłącznie numerycznego identyfikatora user_id jako UID w social-auth. Gdy wiele sklepów Vend uwierzytelnia się przez tę samą aplikację, użytkownicy z różnych sklepów o tym samym wewnętrznym identyfikatorze mogli kolidować w tabeli powiązań social-auth.
- CVE-2026-57175Średnie
W bibliotece Python Social Auth w wersjach przed 5.0.0 backend SAML akceptował odpowiedzi SAML na punkcie Assertion Consumer Service bez sprawdzenia, czy odpowiadają wcześniej wysłanemu AuthnRequest. Aplikacje używające powiązania kont SAML mogły pozwolić atakującemu z ważnym kontem u zaufanego dostawcy tożsamości na powiązanie swojej tożsamości SAML z lokalnym kontem zalogowanej ofiary.
Oryginalny opis (angielski, źródło NVD)
Python Social Auth is a social authentication/registration mechanism. Prior to version 5.0.0, the partial-pipeline resume mechanism accepted `partial_token` as a bearer credential without binding it to the browser session that created it. Applications using resumable partial pipeline steps could allow an attacker to start an authentication flow, obtain a valid partial token and verification data, and cause a victim's browser to resume that attacker-controlled flow. This could authenticate the victim's browser as the attacker's account. The issue affects applications using partial pipeline steps such as `mail_validation` or custom steps decorated with `@partial`. The issue has been fixed in version 5.0.0 by binding partial pipeline resumes to the originating browser session.