PT-2026-126683
CVE-2026-116672
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Authlib الإصدارات من 0.15 إلى 1.9.0
الوصف
تقوم التنفيذات المرجعية لـ
ClientConfigurationEndpoint.authenticate client() و ClientConfigurationEndpoint.check permission() بالبحث عن عميل مستهدف باستخدام بيانات client id من الطلب والتحقق مما إذا كان المستهدف قابلاً للتعديل، ولكنها تفشل في التحقق مما إذا كان request.credential ينتمي إلى ذلك العميل المستهدف. يسمح هذا لأي عميل يمتلك رمز وصول تسجيل صالح بقراءة أو تعديل أو حذف تسجيل عميل آخر. يمكن أن يؤدي تغيير redirect uris إلى اعتراض رمز التفويض أو الرمز المميز، كما يمكن أن يؤدي حذف التسجيلات إلى حرمان الخدمة للعملاء المتأثرين.التوصيات
التحديث إلى الإصدار 1.9.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾