CVE-2026-57178 in Python Social Auth
Tóm tắt
Bởi VulDB • 24/09/2026
Python Social Auth là một cơ chế xác thực/đăng ký qua mạng xã hội. Trước phiên bản 5.0.0, backend `vk-app` chấp nhận dữ liệu gọi lại (callback) của ứng dụng VK mà không kiểm tra chữ ký callback khi tham số `auth_key` bị bỏ qua. Các ứng dụng sử dụng backend này có thể coi dữ liệu do kẻ tấn công kiểm soát và chưa được xác thực là danh tính VK đã được xác minh. Kẻ tấn công có thể chọn các trường callback như `viewer_id`, `access_token`, `api_id` và `api_result`, từ đó cho phép đăng nhập với tư cách là một ID người dùng VK tùy ý. Vấn đề này chỉ ảnh hưởng đến các ứng dụng sử dụng backend `vk-app`. Sự cố đã được khắc phục trong phiên bản 5.0.0 bằng cách yêu cầu tham số `auth_key` phải có mặt và hợp lệ trước khi dữ liệu callback được tin cậy.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.