CVE-2025-68481: Stateless OAuth en fastapi-users

La principal consecuencia de esta vulnerabilidad es la posibilidad de suplantación de identidad. Un atacante podría interceptar o manipular el token de estado OAuth, utilizándolo para autenticarse como un usuario legítimo sin necesidad de las credenciales correctas. Dado que los tokens no contienen información específica de la sesión, la detección de este tipo de ataque es más difícil. El riesgo se agrava en entornos donde la autenticación OAuth es un componente crítico de la seguridad, como en aplicaciones que acceden a recursos de terceros o que requieren una alta seguridad en el inicio de sesión.

Applications built with FastAPI and utilizing the fastapi-users library for OAuth authentication are at risk. This includes web applications, APIs, and microservices that rely on OAuth for user authentication and authorization. Specifically, deployments using older versions of fastapi-users (<= 9.3.2) and those that haven't implemented robust token validation practices are particularly vulnerable.

• python / server:

    grep -r 'generate_state_token' /path/to/your/project/
    # Look for instances where state_data is an empty dictionary.

• python / supply-chain:

    import os
    import hashlib

    def check_fastapi_users_version():
        try:
            import fastapi_users
            version = fastapi_users.__version__
            if version <= '9.3.2':
                print(f"WARNING: fastapi-users version {version} is vulnerable.")
            else:
                print(f"fastapi-users version {version} is not vulnerable.")
        except ImportError:
            print("fastapi-users is not installed.")

    check_fastapi_users_version()

1. 2025-12-19Disclosure

   disclosure

1. Reservado2025-12-18
2. Publicada2025-12-19
3. Modificada2025-12-20
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar la biblioteca fastapi-users a la versión 15.0.2 o superior, donde se ha corregido el problema. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales, como la validación rigurosa de los tokens de estado OAuth en el lado del servidor y la monitorización de los logs en busca de patrones sospechosos. Además, se puede considerar el uso de un Web Application Firewall (WAF) para detectar y bloquear solicitudes maliciosas que intenten explotar esta vulnerabilidad. Después de la actualización, confirme la corrección verificando que los tokens de estado OAuth generados incluyan la información necesaria para la vinculación a la sesión.