CVE-2026-118669

Nome do Software Vulnerável e Versões Afetadas OAuthLib versões anteriores a 4.0.0

Descrição Nos manipuladores de concessão de token client credentials e Resource Owner Password Credentials, o sistema pode autenticar request.client como um cliente confidencial enquanto mantém um request.client id fornecido por um invasor para validate grant type e validate scopes. Isso permite que um cliente autenticado com menos privilégios faça com que a autorização de concessão e escopo use a identidade de outro cliente se o validador da aplicação confiar no argumento client id, podendo resultar na emissão de tokens com concessões ou escopos não autorizados. Validadores que autorizam exclusivamente a partir de request.client podem não ser afetados.

Recomendações Atualizar para a versão 4.0.0.