- Yama var
- Son 7 gün
- CWE-345
- CWE-384
CVE-2026-115910
Python Social Auth'ta OpenID Connect nonce değeri tarayıcı oturumuna bağlanmıyor, çalınan yetkilendirme kodu saldırganın kurban olarak giri…
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Python Social Auth, sosyal kimlik doğrulama ve kayıt mekanizmasıdır. 6.2.0 sürümünden önce, social_core/backends/open_id_connect.py içindeki OpenIdConnectAuth, OpenID Connect nonce değerini paylaşılan OpenIdConnectAssociation tablosuna yerleştirmek için get_and_store_nonce fonksiyonunu kullanır. get_nonce ve validate_claims fonksiyonları ise nonce değerinin yalnızca var olup olmadığını ve süresinin dolup dolmadığını doğrular; bu değeri girişi başlatan tarayıcı oturumu ve OAuth state değeriyle ilişkilendirmez. Kurbanın kullanılmamış bir yetkilendirme kodunu ele geçiren bir saldırgan, saldırganın tarayıcısı için geçerli bir state değeri elde etmek amacıyla ayrı bir giriş başlatabilir, kurbanın kodunu bu state değeriyle gönderebilir ve kurbanın nonce değeri genel olarak erişilebilir olduğundan nonce doğrulamasını geçebilir. Varsayılan OpenIdConnectAuth yapılandırmasında DEFAULT_USE_PKCE devre dışı olduğunda saldırgan kurban olarak sisteme giriş yapabilir. Bu sorun 6.2.0 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Python Social Auth is a social authentication and registration mechanism. Prior to 6.2.0, OpenIdConnectAuth in social_core/backends/open_id_connect.py uses get_and_store_nonce to place the OpenID Connect nonce in a shared OpenIdConnectAssociation table, and get_nonce and validate_claims verify only that the nonce exists and has not expired rather than binding it to the browser session and OAuth state that initiated the login. An attacker who obtains a victim's unused authorization code can start a separate login to obtain valid state for the attacker's browser, submit the victim's code with that state, and pass nonce validation because the victim nonce is globally available. With DEFAULT_USE_PKCE disabled in the default OpenIdConnectAuth configuration, the attacker can be logged in as the victim. This issue is fixed in version 6.2.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| python-social-auth social-core | < 6.2.0 | 6.2.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.