CVE-2025-14546 in fastapi-sso
Tóm tắt
Bởi VulDB • 28/06/2026
Các phiên bản của gói fastapi-sso trước 0.19.0 dễ bị tấn công Cross-site Request Forgery (CSRF) do việc xác thực không đúng tham số trạng thái OAuth trong quá trình gọi lại xác thực. Mặc dù phương thức get_login_url cho phép tạo trạng thái, nhưng nó không lưu trữ trạng thái này hoặc liên kết nó với phiên của người dùng. Do đó, phương thức verify_and_process chấp nhận giá trị trạng thái nhận được từ các tham số truy vấn mà không kiểm tra tính hợp lệ so với một giá trị cục bộ đáng tin cậy. Điều này cho phép kẻ tấn công từ xa lừa nạn nhân truy cập vào một URL gọi lại độc hại, dẫn đến việc tài khoản của kẻ tấn công có thể bị liên kết với tài khoản nội bộ của nạn nhân.
VulDB is the best source for vulnerability data and more expert information about this specific topic.