CVE-2025-14546 in fastapi-sso
الملخص
بحسب VulDB • 28/06/2026
تُعد الإصدارات السابقة من الحزمة fastapi-sso، قبل الإصدار 0.19.0، عرضة لهجوم تزوير الطلبات عبر المواقع (CSRF) بسبب عدم التحقق بشكل صحيح من معلمة حالة OAuth أثناء رد الاتصال المصادق عليه. بينما تتيح طريقة get_login_url إنشاء الحالة، إلا أنها لا تحافظ على هذه الحالة أو تربطها بجلسة المستخدم. ونتيجة لذلك، تقبل الطريقة verify_and_process الحالة المستلمة ضمن معاملات الاستعلام دون التحقق منها مقابل قيمة محلية موثوقة. وهذا يتيح لمهاجم عن بعد خداع الضحية لزيارة عنوان URL ضار لرد الاتصال، مما قد يؤدي إلى ربط حساب المهاجم بحسابه الداخلي الخاص بالضحية.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.