Authlib में 1-क्लिक अकाउंट टेकओवर भेद्यता (Account Takeover vulnerability) है

यह CSRF भेद्यता तब उत्पन्न होती है जब कैश-बैक स्टेट/रिक्वेस्ट-टोकन स्टोरेज उपयोगकर्ता सत्र से बंधा नहीं होता है। इसका मतलब है कि हमलावर, जो एक वैध स्टेट वैल्यू प्राप्त करता है (एक हमलावर-आरंभित प्रमाणीकरण प्रवाह के माध्यम से आसानी से प्राप्त किया जा सकता है), एक CSRF हमले को अंजाम दे सकता है और उपयोगकर्ता के खाते पर नियंत्रण कर सकता है। इस भेद्यता का उपयोग करके, हमलावर उपयोगकर्ता की जानकारी तक पहुंच प्राप्त कर सकता है, उपयोगकर्ता की ओर से कार्रवाई कर सकता है, और संभावित रूप से सिस्टम में आगे प्रवेश कर सकता है। यह विशेष रूप से उन अनुप्रयोगों के लिए गंभीर है जो प्रमाणीकरण के लिए Authlib का उपयोग करते हैं और स्टेट वैल्यू को सुरक्षित रूप से प्रबंधित नहीं करते हैं।

Applications utilizing Authlib for OAuth 2.0 or OpenID Connect authentication, particularly those relying solely on Authlib's built-in state management without additional CSRF protections, are at significant risk. This includes web applications, APIs, and microservices that integrate with Authlib for authentication purposes.

• python / server:

import hashlib

def check_authlib_version():
    import authlib
    version = authlib.__version__
    if version <= '1.6.5':
        print(f"Authlib version {version} is vulnerable to CVE-2025-68158. Upgrade to 1.6.6 or later.")
    else:
        print(f"Authlib version {version} is not vulnerable.")

check_authlib_version()

• generic web: Use a web proxy or browser extension to inspect network traffic during authentication flows. Look for requests containing state parameters that are not properly validated or tied to the user's session.

1. 2026-01-08Disclosure

   disclosure

1. आरक्षित2025-12-15
2. प्रकाशित2026-01-08
3. संशोधित2026-03-30
4. EPSS अद्यतन2026-03-23

इस भेद्यता को कम करने के लिए, Authlib को 1.6.6 या उसके बाद के संस्करण में तुरंत अपडेट करें। यदि अपडेट करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, सुनिश्चित करें कि स्टेट वैल्यू को उपयोगकर्ता सत्र से सुरक्षित रूप से बांधा गया है। आप वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके CSRF हमलों को भी ब्लॉक कर सकते हैं। इसके अतिरिक्त, अपने एप्लिकेशन के एक्सेस और त्रुटि लॉग की नियमित रूप से निगरानी करें ताकि किसी भी असामान्य गतिविधि का पता लगाया जा सके जो इस भेद्यता के शोषण का संकेत दे सकती है। अपग्रेड के बाद, यह सत्यापित करें कि स्टेट वैल्यू अब उपयोगकर्ता सत्र से सुरक्षित रूप से बंधे हैं और CSRF हमले संभव नहीं हैं।