CVE-2026-57178 in Python Social Auth
Résumé
par VulDB • 24/09/2026
Python Social Auth est un mécanisme d'authentification/inscription sociale. Avant la version 5.0.0, le backend `vk-app` acceptait les données de rappel (callback) des applications VK sans vérifier la signature du rappel lorsque le paramètre `auth_key` était omis. Les applications utilisant ce backend pouvaient traiter des données non signées contrôlées par un attaquant comme une identité VK vérifiée. Un attaquant pourrait choisir des champs de rappel tels que `viewer_id`, `access_token`, `api_id` et `api_result`, permettant potentiellement l'authentification en tant qu'ID d'utilisateur VK arbitraire. Le problème affecte uniquement les applications utilisant le backend `vk-app`. Le problème a été corrigé dans la version 5.0.0 en exigeant que `auth_key` soit présent et valide avant de faire confiance aux données de rappel.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.