PT-2026-40589
CVE-2026-44681
·
تاريخ النشر
2026-05-04
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Authlib الأقدم من 1.6.12
إصدارات Authlib الأقدم من 1.7.1
الوصف
توجد إعادة توجيه مفتوحة غير مصدقة في نقطة نهاية التفويض لمكوني
OpenIDImplicitGrant وOpenIDHybridGrant. يمكن لمهاجم عن بُعد أن يجعل خادم التفويض يصدر إعادة توجيه HTTP 302 إلى عنوان URL تعسفي يختاره المهاجم، وذلك عن طريق إرسال طلب تفويض يغفل نطاق openid. يحدث هذا لأن الدالة validate authorization request() في كلا المنحين تقوم بفحص النطاق قبل التحقق من صحة redirect uri مقابل عناوين URL للعميل المسجلة. ونتيجة لذلك، يتم تشغيل استثناء InvalidScopeError باستخدام متغير redirect uri غير مصدق عليه، والذي تعالجه بعد ذلك الدالة OAuth2Error. call كموقع إعادة توجيه.التوصيات
قم بالتحديث إلى الإصدار 1.6.12 أو 1.7.1.
كإجراء تخفيفي مؤقت، قم بإلغاء تسجيل
OpenIDImplicitGrant وOpenIDHybridGrant إذا لم تكن تدفقات Implicit وHybrid مطلوبة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾