CVE-2025-14546
Açıklama
fastapi-sso paketinin 0.19.0 öncesindeki sürümleri, kimlik doğrulama geri çağırma işlemi sırasında OAuth state parametresinin uygun şekilde doğrulanmaması nedeniyle Siteler Arası İstek Sahteciliği (CSRF) zafiyetine sahiptir. get_login_url yöntemi state oluşturulmasına izin verse de, bu state değerini kalıcı hale getirmez veya kullanıcının oturumuna bağlamaz. Sonuç olarak, verify_and_process yöntemi, sorgu parametrelerinde alınan state değerini güvenilir bir yerel değerle doğrulamadan kabul eder. Bu durum, uzaktaki bir saldırganın kurbanı kötü amaçlı bir geri çağırma URL'sini ziyaret etmeye ikna ederek, saldırganın hesabının kurbanın dahili hesabına bağlanmasına neden olabilir.
Nasıl düzeltilir
- fastapi-sso0.19.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| fastapi-ssoPyPI | v < 0.19.0 | 0.19.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.