PT-2025-52412
CVE-2025-14546
·
تاريخ النشر
2025-12-19
·
تاريخ التحديث
2026-10-05
الوصف من
CVSS 3.1
6.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات fastapi-sso الأقدم من 0.19.0
الوصف
البرنامج معرض لخطر التزوير بين المواقع (CSRF) بسبب التحقق غير الكافي من معلمة حالة OAuth أثناء عملية الاستدعاء المرتد للمصادقة. تقوم الطريقة
get login url بإنشاء قيمة حالة، لكنها لا تخزنها ولا تربطها بجلسة عمل المستخدم. بعد ذلك، تقبل الطريقة verify and process معلمة الحالة من معلمات الاستعلام دون مقارنتها بقيمة موثوقة مخزنة محليًا. وهذا يسمح للمهاجم بحث المستخدم على زيارة عنوان URL خبيث للرد، مما قد يؤدي إلى ربط حساب المهاجم بحساب المستخدم الداخلي.التوصيات
قم بالتحديث إلى الإصدار 0.19.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾