CVE-2026-49264

OAuthLib, Python 3.6+ üçün OAuth sorğu imzalanma məntiqinin tətbiqidir. 0.6.1 versiyasından 4.0.0 versiyasına qədər, OAuthLib-in oauthlib/oauth2/rfc6749/endpoints/revocation.py faylındakı RevocationEndpoint komponenti, enable_jsonp=True olduqda, təsdiqlənməmiş callback sorğu parametrini uğurlu və xəta cavab gövdələrinə əks etdirir. Callback parametri sorğu sətrindən (query string) və ya sorğu gövdəsindən gələ bilər və qanuni JavaScript funksiya adı ilə məhdudlaşdırılmadan istifadə olunur. Ləğv etmə cavabını etibarlı JSONP kimi yükləyən və hücumçunun callback üzərində təsirinə şərait yaradan brauzer tətbiqi, beləliklə, daxil edən tətbiqin mənşəyində (origin), onun DOM-una və skript vasitəsilə əlçatan olan məlumatlarına girişlə hücumçu tərəfindən idarə olunan JavaScript kodunu icra edə bilər. Bu funksiya standart olaraq söndürülmüşdür, buna görə də yalnız JSONP-ni açıq şəkildə aktivləşdirən tətbiqlər təsirlənir. Bu problem 4.0.0 versiyasında düzəldilmişdir.