PT-2026-129190
CVE-2026-118669
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 4.0
8.4
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OAuthLib الإصدارات السابقة لـ 4.0.0
الوصف
في معالجات منح رموز
client credentials و Resource Owner Password Credentials، يمكن للنظام مصادقة request.client كعميل سري واحد مع الاحتفاظ بـ request.client id الذي قدمه المهاجم لعمليتي validate grant type و validate scopes. يتيح ذلك لعميل مصادق عليه بصلاحيات أقل التسبب في استخدام هوية عميل آخر لتفويض المنح والنطاقات إذا كان مدقق التطبيق يعتمد على وسيط client id ، مما قد يؤدي إلى إصدار رموز بمنح أو نطاقات غير مصرح بها. قد لا يتأثر المدققون الذين يقومون بالتفويض حصرياً من خلال request.client.التوصيات
التحديث إلى الإصدار 4.0.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾