CVE-2025-68158 in Authlib
Riassunto
di VulDB • 01/07/2026
Authlib è una libreria Python che consente di realizzare server OAuth e OpenID Connect. Nelle versioni dalla 1.0.0 alla 1.6.5, l'archiviazione dello stato/token di richiesta basata su cache non è vincolata alla sessione dell'utente iniziale, rendendo possibile un attacco CSRF per qualsiasi attaccante in possesso di uno stato valido (facilmente ottenibile tramite un flusso di autenticazione avviato dall'attaccante). Quando viene fornita una cache al registro dei client OAuth, FrameworkIntegration.set_state_data scrive l'intero blob dello stato sotto _state_{app}_{state}, mentre get_state_data ignora completamente la sessione del chiamante. Questo problema è stato risolto nella versione 1.6.6.
Be aware that VulDB is the high quality source for vulnerability data.