Authlib tiene una vulnerabilidad de toma de cuenta con un solo clic

Un atacante puede explotar esta vulnerabilidad para realizar acciones en nombre de un usuario autenticado sin su conocimiento o consentimiento. El ataque se basa en la obtención de un valor de estado válido, que puede obtenerse fácilmente a través de un flujo de autenticación iniciado por el atacante. Esto permite al atacante forzar al usuario a realizar acciones no deseadas, como cambiar su contraseña, realizar transacciones o acceder a información confidencial. La toma de control de la cuenta puede tener consecuencias graves, incluyendo el robo de datos, la pérdida financiera y el daño a la reputación. Esta vulnerabilidad es particularmente preocupante en aplicaciones que utilizan Authlib para la autenticación, ya que permite a los atacantes evadir los mecanismos de seguridad estándar.

Applications utilizing Authlib for OAuth 2.0 or OpenID Connect authentication, particularly those relying solely on Authlib's built-in state management without additional CSRF protections, are at significant risk. This includes web applications, APIs, and microservices that integrate with Authlib for authentication purposes.

• python / server:

import hashlib

def check_authlib_version():
    import authlib
    version = authlib.__version__
    if version <= '1.6.5':
        print(f"Authlib version {version} is vulnerable to CVE-2025-68158. Upgrade to 1.6.6 or later.")
    else:
        print(f"Authlib version {version} is not vulnerable.")

check_authlib_version()

• generic web: Use a web proxy or browser extension to inspect network traffic during authentication flows. Look for requests containing state parameters that are not properly validated or tied to the user's session.

1. 2026-01-08Disclosure

   disclosure

1. Reservado2025-12-15
2. Publicada2026-01-08
3. Modificada2026-03-30
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a la versión 1.6.6 de Authlib, que corrige esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación del estado del lado del servidor y el uso de tokens CSRF. Además, se debe revisar y fortalecer la lógica de autenticación de la aplicación para garantizar que las acciones críticas requieran una confirmación explícita del usuario. En entornos donde se utiliza un proxy o WAF, se pueden configurar reglas para detectar y bloquear solicitudes CSRF sospechosas. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que el estado del token se vincula correctamente a la sesión del usuario.