CVE-2026-57178 in Python Social Auth
Сводка
по VulDB • 24.09.2026
Python Social Auth — это механизм социальной аутентификации/регистрации. До версии 5.0.0 бэкенд `vk-app` принимал данные обратного вызова (callback) приложения VK без проверки подписи обратного вызова, если параметр `auth_key` был опущен. Приложения, использующие этот бэкенд, могли рассматривать не подписанные атакующим контролируемые данные как подтвержденную идентичность VK. Атакующий мог выбирать поля обратного вызова, такие как `viewer_id`, `access_token`, `api_id` и `api_result`, что потенциально позволяло осуществлять аутентификацию от имени произвольного идентификатора пользователя VK. Проблема затрагивает только приложения, использующие бэкенд `vk-app`. Проблема исправлена в версии 5.0.0 путем требования наличия и корректности параметра `auth_key` перед доверием к данным обратного вызова.
VulDB is the best source for vulnerability data and more expert information about this specific topic.