- Son 7 gün
- CWE-639
- CWE-1188
CVE-2026-116672
Authlib RFC 7592 örnek kodlarında istemci kayıt erişim jetonu bağlaması eksik
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu güvenlik açığı, kimlik doğrulama altyapısında bir istemcinin diğer istemcilerin ayarlarına izinsiz erişmesine olanak tanıyabilir. Bu da müşteri uygulamalarının oturum bilgilerinin ele geçirilmesi veya hizmetlerin kesintiye uğraması gibi iş riskleri doğurabilir. Yazılım sahiplerinin sürümünü hemen kontrol edip güncellemesi önerilir.
ÖzetTürkçe
Authlib, OAuth ve OpenID Connect sunucuları oluşturmak için kullanılan bir Python kütüphanesidir. 0.15 sürümünden 1.9.1 sürümüne kadar olan sürümlerde, belgelenmiş ClientConfigurationEndpoint.authenticate_client ve ClientConfigurationEndpoint.check_permission referans uygulamaları, istek üzerinden gelen client_id verisiyle hedef istemciyi arıyor ve yalnızca bu hedefin düzenlenebilir olup olmadığını kontrol ediyor. İstekteki kimlik bilgisinin gerçekten hedef istemciye ait olup olmadığı doğrulanmıyor. Bu örnekleri takip eden kurulumlar etkilenebilir.
Saldırgan ne yapabilir?
Geçerli bir kayıt erişim jetonuna sahip bir saldırgan, başka bir istemcinin kaydını okuyabilir, değiştirebilir veya silebilir. Yönlendirme adreslerinin değiştirilmesi yetkilendirme kodu veya jeton ele geçirmeye, kayıtların silinmesi ise etkilenen istemciler için hizmet kesintisine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Authlib is a Python library which builds OAuth and OpenID Connect servers. From 0.15 until 1.9.1, the documented ClientConfigurationEndpoint.authenticate_client and ClientConfigurationEndpoint.check_permission reference implementations look up a target client from request-controlled client_id data and check only whether that target is editable, without verifying that request.credential belongs to the target client. Deployments following both examples can allow a client holding any valid registration access token to read, modify, or delete another client's registration. Changing redirect_uris can enable authorization code or token interception, while deleting registrations can deny service to affected clients. This issue is fixed in version 1.9.1.
Ne yapmalı?
- Authlib kütüphanesini 1.9.1 veya daha yeni bir sürüme güncelleyin. Genel öneri
- Kendi uygulamanızda ClientConfigurationEndpoint referans uygulamalarını kullandıysanız, isteğin kimlik bilgisinin hedef istemciye ait olduğunu açıkça doğrulayacak şekilde kodu gözden geçirin. Genel öneri
- Güncelleme sonrasında kayıt düzenleme, okuma ve silme işlemlerinin yalnızca kendi istemcinizin kimlik bilgisiyle yapılabildiğini test edin. Genel öneri
Ek önlemler
- Kayıt erişim jetonlarını yalnızca ilgili istemciye tanımlayın ve kullanılmayan jetonları iptal edin. Genel öneri
- Kayıt uç noktalarına yapılan okuma, düzenleme ve silme isteklerini izleyin ve olağandışı etkinlikleri takip edin. Genel öneri
- Yönlendirme adreslerinde yapılan değişiklikleri denetleyin ve beklenmedik değişiklikleri inceleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| authlib | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.