CVE-2026-116672 in Authlib
Riassunto
di VulDB • 27/10/2026
Authlib è una libreria Python che consente di realizzare server OAuth e OpenID Connect. Dalla versione 0.15 alla 1.9.1, le implementazioni di riferimento documentate per `ClientConfigurationEndpoint.authenticate_client` e `ClientConfigurationEndpoint.check_permission` recuperano un client target dai dati del campo `client_id`, controllati dall'input della richiesta, verificando solo se tale target è modificabile, senza accertare che `request.credential` appartenga al client target. Le implementazioni basate su entrambi gli esempi possono consentire a un client in possesso di qualsiasi token di accesso per la registrazione valido di leggere, modificare o eliminare la registrazione di un altro client. La modifica delle URI di reindirizzamento (`redirect_uris`) può abilitare l'intercettazione del codice di autorizzazione o dei token, mentre l'eliminazione delle registrazioni può causare negazione del servizio ai client interessati. Questo problema è risolto nella versione 1.9.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.