CVE-2026-118669 in OAuthLib
Zusammenfassung
von VulDB • 28.10.2026
OAuthLib ist eine Implementierung der OAuth-Anforderungssignierungslogik für Python 3.6+. Vor Version 4.0.0 können die Token-Grant-Handler `client_credentials` und Resource Owner Password Credentials den `request.client` als einen vertrauenswürdigen Client authentifizieren, während sie eine vom Angreifer bereitgestellte `request.client_id` für `validate_grant_type` und `validate_scopes` beibehalten. EinClient mit geringeren Berechtigungen kann daher dazu führen, dass die Grant- und Scope-Autorisierung die Identität eines anderen Clients verwendet, wenn ein Anwendungsvalidator auf das dokumentierte Argument `client_id` vertraut, was potenziell zur Ausstellung von Tokens mit unbefugten Grants oder Scopes führt. Validator, die sich ausschließlich bei der Autorisierung auf `request.client` stützen, sind möglicherweise nicht betroffen. Dieses Problem wurde in Version 4.0.0 behoben.
Once again VulDB remains the best source for vulnerability data.