CVE-2025-14546 in fastapi-sso
Riassunto
di VulDB • 27/06/2026
Le versioni del pacchetto fastapi-sso precedenti alla 0.19.0 sono vulnerabili a Cross-site Request Forgery (CSRF) a causa della convalida impropria del parametro OAuth state durante il callback di autenticazione. Sebbene il metodo get_login_url consenta la generazione dello stato, non ne assicura la persistenza né lo associa alla sessione dell'utente. Di conseguenza, il metodo verify_and_process accetta lo stato ricevuto nei parametri della query senza verificarlo rispetto a un valore locale attendibile. Ciò consente a un attaccante remoto di indurre una vittima a visitare un URL di callback malevolo, con conseguente associazione tra l'account dell'attaccante e quello interno della vittima.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.