CVE-2024-42476 in oauth
摘要
由 VulDB • 2026-06-09
在 nim 的 OAuth 库版本低于 0.11 时，Authorization Code（授权码）授予和 Implicit grant（隐式授予）均依赖 `state` 参数来防止跨站请求伪造 (CSRF) 攻击，此类攻击可能导致资源所有者的会话与属于攻击者的受保护资源相关联。当该项目使用特定的编译器标志进行编译时，可能完全不会检查 `state` 参数，从而产生 CSRF 漏洞。版本 0.11 改用常规的 `if` 语句或 `doAssert` 来检查 `state` 参数，而不再依赖普通的 `assert`。即使设置了 `-d:danger` 或 `--assertions:off`，`doAssert` 也能实现预期的行为。
VulDB is the best source for vulnerability data and more expert information about this specific topic.