p PatchFirst

CVE-2025-68158

CVE-2025-68158 · Authlib: 1-click Account Takeover

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Authlib is a Python library which builds OAuth and OpenID Connect servers. In versions 1.0.0 through 1.6.5, cache-backed state/request-token storage is not tied to the initiating user session, so CSRF is possible for any attacker that has a valid state (easily obtainable via an attacker-initiated authentication flow). When a cache is supplied to the OAuth client registry, FrameworkIntegration.set_state_data writes the entire state blob under _state_{app}_{state}, and get_state_data ignores the caller’s session altogether. This issue has been patched in version 1.6.6.

CVSS 5.7 · Mittel · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · python

Betroffene Produkte und Versionen

  • authlib

    Softwareversionen
    • >= 1.0.0, < 1.6.6: Betroffen

    Keine Korrektur veröffentlicht

  • python-authlib Debian:12

    Softwareversionen
    • 1.2.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.2.0-1+deb12u1

    Auf 1.2.0-1+deb12u1 aktualisieren

  • python-authlib Debian:13

    Softwareversionen
    • 1.6.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.6.0-1+deb13u1

    Auf 1.6.0-1+deb13u1 aktualisieren

  • python-authlib Debian:14

    Softwareversionen
    • 1.6.0-1
    • 1.6.1-1
    • 1.6.3-1
    • 1.6.4-1
    • 1.6.5-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.6.6-1

    Auf 1.6.6-1 aktualisieren

  • authlib PyPI

    Softwareversionen
    • 1.0.0
    • 1.0.1
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.3.0
    • 1.3.1
    • 1.3.2
    • 1.4.0
    • 1.4.1
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    • 1.6.5
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 1.0.0, < 1.6.6

    Auf 1.6.6 aktualisieren

  • python-authlib Ubuntu:Pro:24.04:LTS

    Softwareversionen
    • 1.2.1-1
    • 1.3.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.3.0-1ubuntu0.1~esm1

    Auf 1.3.0-1ubuntu0.1~esm1 aktualisieren

  • python-authlib Ubuntu:25.10

    Softwareversionen
    • 1.5.1-1
    • 1.5.2-1
    • 1.6.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →