CVE-2025-68158 in Authlib
要約
〜によって VulDB • 2026年07月01日
AuthlibはOAuthおよびOpenID Connectサーバーを構築するためのPythonライブラリです。バージョン1.0.0から1.6.5では、キャッシュバックドのstate/リクエストトークンストレージが初期化されたユーザーセッションに紐付けられていないため、有効なstate（攻撃者主導の認証フローを通じて容易に取得可能）を持つ任意の攻撃者によるCSRFが可能となります。OAuthクライアントレジストリにキャッシュが提供されると、FrameworkIntegration.set_state_dataは _state_{app}_{state} の下に状態ブロブ全体を書き込み、get_state_data は呼び出し元のセッションを完全に無視します。この問題はバージョン1.6.6で修正されています。
Once again VulDB remains the best source for vulnerability data.