CVE-2026-57178
Təsvir
Python Social Auth sosial autentifikasiya/qeydiyyat mexanizmidir. Versiya 5.0.0-dək olan versiyalarda, `auth_key` parametri olmadıqda, `vk-app` backend-i geri çağırma (callback) imzasını yoxlamadan VK tətbiqi geri çağırma məlumatlarını qəbul edirdi. Bu backend-dən istifadə edən tətbiqlər, hücumçu tərəfindən idarə olunan imzalanmamış məlumatları təsdiqlənmiş VK kimliyi kimi qəbul edə bilərdilər. Hücumçu `viewer_id`, `access_token`, `api_id` və `api_result` kimi geri çağırma sahələrini seçərək, potensial olaraq hər hansı bir VK istifadəçi ID-si ilə autentifikasiyadan keçə bilərdi. Problem yalnız `vk-app` backend-indən istifadə edən tətbiqlərə təsir edir. Problem, geri çağırma məlumatlarına etibar edilməzdən əvvəl `auth_key`-in mövcud və etibarlı olmasının tələb edilməsi ilə versiya 5.0.0-da düzəldilmişdir.
Necə düzəltmək olar
- social-auth-core5.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| social-auth-corePyPI | v < 5.0.0 | 5.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.