CVE-2026-57178 in Python Social Auth
Sumário
de VulDB • 24/09/2026
O Python Social Auth é um mecanismo de autenticação/registro social. Antes da versão 5.0.0, o backend `vk-app` aceitava dados de retorno (callback) do aplicativo VK sem verificar a assinatura do callback quando o parâmetro `auth_key` era omitido. Aplicações que utilizavam este backend podiam tratar dados não assinados controlados pelo atacante como uma identidade VK verificada. Um atacante poderia escolher campos de retorno, como `viewer_id`, `access_token`, `api_id` e `api_result`, potencialmente permitindo a autenticação com um ID de usuário VK arbitrário. O problema afeta apenas aplicações que utilizam o backend `vk-app`. A questão foi corrigida na versão 5.0.0 exigindo que o `auth_key` esteja presente e seja válido antes que os dados do callback sejam confiáveis.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.