CVE-2026-57178

Python Social Auth bir sosyal kimlik doğrulama/kayıt mekanizmasıdır. Versiyon 5.0.0 öncesinde, `vk-app` backend'i, `auth_key` parametresi eksik olduğunda geri çağırma imzasını doğrulamadan VK uygulama geri çağırma verilerini kabul ediyordu. Bu backend'i kullanan uygulamalar, imzalanmamış ve saldırgan tarafından kontrol edilen verileri doğrulanmış bir VK kimliği olarak işleyebiliyordu. Bir saldırgan; `viewer_id`, `access_token`, `api_id` ve `api_result` gibi geri çağırma alanlarını seçerek rastgele bir VK kullanıcı kimliği ile kimlik doğrulama gerçekleştirebilirdi. Sorun yalnızca `vk-app` backend'ini kullanan uygulamaları etkilemektedir. Sorun, geri çağırma verilerine güvenilmeden önce `auth_key` parametresinin mevcut ve geçerli olmasını zorunlu kılan versiyon 5.0.0 ile düzeltilmiştir.