CVE-2025-14546
CVE-2025-14546
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Versions of the package fastapi-sso before 0.19.0 are vulnerable to Cross-site Request Forgery (CSRF) due to the improper validation of the OAuth state parameter during the authentication callback. While the get_login_url method allows for state generation, it does not persist the state or bind it to the user's session. Consequently, the verify_and_process method accepts the state received in the query parameters without verifying it against a trusted local value. This allows a remote attacker to trick a victim into visiting a malicious callback URL, which can result in the attacker's account being linked to the victim's internal account.
CVSS 6.9 · Средний · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Стек: python
Затронутые продукты и версии
fastapi-sso
- Версии
- ≥ 0, < 0.19.0: Затронуто (semver)
Обновитесь до 0.19.0
fastapi-sso PyPI
- Версии
- 0.10.0
- 0.11.0
- 0.12.0
- 0.12.1
- 0.12.2
- 0.13.0
- 0.13.1
- 0.14.0
- 0.14.1
- 0.14.2
- 0.15.0
- 0.16.0
- 0.17.0
- 0.18.0
- 0.2.1
- 0.2.10
- 0.2.11
- 0.2.12
- 0.2.13
- 0.2.2
- 0.2.3
- 0.2.4
- 0.2.5
- 0.2.6
- 0.2.7
- 0.2.8
- 0.2.9
- 0.3.0
- 0.4.0
- 0.5.0
- 0.5.1
- 0.6.1
- 0.6.2
- 0.6.3
- 0.6.4
- 0.7.0
- 0.7.1
- 0.7.2
- 0.7.3
- 0.7.4
- 0.8.0
- 0.9.0
- 0.9.1
- Затронутые диапазоны версий
- ECOSYSTEM: < 0.19.0
Обновитесь до 0.19.0