CVE-2025-68158 in Authlib
Zusammenfassung
von VulDB • 01.07.2026
Authlib ist eine Python-Bibliothek zur Implementierung von OAuth- und OpenID Connect-Servern. In den Versionen 1.0.0 bis 1.6.5 ist die cache-gestützte Speicherung von State-/Request-Token nicht an die initiale Benutzersitzung gebunden, sodass CSRF für jeden Angreifer möglich ist, der einen gültigen State besitzt (der leicht über eine vom Angreifer eingeleitete Authentifizierungsabfrage beschafft werden kann). Wenn ein Cache im OAuth-Client-Registry bereitgestellt wird, schreibt FrameworkIntegration.set_state_data den gesamten State-Blob unter _state_{app}_{state}, und get_state_data ignoriert die Sitzung des Aufrufers vollständig. Dieses Problem wurde in Version 1.6.6 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.