CVE-2026-118669 in OAuthLib
요약
\~에 의해 VulDB • 2026. 10. 29.
OAuthLib은 Python 3.6+용 OAuth 요청 서명 로직의 구현체입니다. 버전 4.0.0 이전에서는 `client_credentials` 및 Resource Owner Password Credentials 토큰 부여 핸들러가 공격자가 제공한 `request.client_id`를 유지하면서 `validate_grant_type` 및 `validate_scopes`에 대해 `request.client`를 하나의 기밀 클라이언트로 인증할 수 있습니다. 따라서 하위 권한을 가진 인증된 클라이언트는 애플리케이션 검증기가 문서화된 `client_id` 인수를 의존하는 경우 다른 클라이언트의 신원을 사용하여 부여 및 범위 승인을 유발하여, 승인되지 않은 부여 또는 범위가 포함된 토큰이 발급될 가능성이 있습니다. 오직 `request.client`로부터만 권한을 부여하는 검증기는 영향을 받지 않을 수 있습니다. 이 문제는 버전 4.0.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.