CVE-2025-68481: OAuth State Token Vulnerability in FastAPI Users

यह भेद्यता हमलावरों को OAuth लॉगिन प्रक्रिया के दौरान उत्पन्न स्टेट टोकन को अपहरण करने की अनुमति देती है। चूंकि स्टेट टोकन में कोई प्रति-अनुरोध एंट्रॉपी नहीं होती है, इसलिए हमलावर एक वैध सत्र को हाईजैक कर सकते हैं और उपयोगकर्ता की ओर से कार्रवाई कर सकते हैं। इसका परिणाम संवेदनशील डेटा तक अनधिकृत पहुंच, खाता नियंत्रण का नुकसान और अन्य दुर्भावनापूर्ण गतिविधियाँ हो सकती हैं। यह भेद्यता विशेष रूप से उन अनुप्रयोगों के लिए गंभीर है जो OAuth का उपयोग करके तीसरे पक्ष के प्रदाताओं के माध्यम से प्रमाणीकरण पर निर्भर करते हैं।

Applications built with FastAPI and utilizing the fastapi-users library for OAuth authentication are at risk. This includes web applications, APIs, and microservices that rely on OAuth for user authentication and authorization. Specifically, deployments using older versions of fastapi-users (<= 9.3.2) and those that haven't implemented robust token validation practices are particularly vulnerable.

• python / server:

    grep -r 'generate_state_token' /path/to/your/project/
    # Look for instances where state_data is an empty dictionary.

• python / supply-chain:

    import os
    import hashlib

    def check_fastapi_users_version():
        try:
            import fastapi_users
            version = fastapi_users.__version__
            if version <= '9.3.2':
                print(f"WARNING: fastapi-users version {version} is vulnerable.")
            else:
                print(f"fastapi-users version {version} is not vulnerable.")
        except ImportError:
            print("fastapi-users is not installed.")

    check_fastapi_users_version()

1. 2025-12-19Disclosure

   disclosure

1. आरक्षित2025-12-18
2. प्रकाशित2025-12-19
3. संशोधित2025-12-20
4. EPSS अद्यतन2026-03-23

इस भेद्यता को कम करने के लिए, प्रभावित संस्करणों से FastAPI Users को तुरंत संस्करण 15.0.2 में अपडेट करना आवश्यक है। यदि तत्काल अपडेट संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके स्टेट टोकन को मान्य करने के लिए नियम लागू कर सकते हैं। इसके अतिरिक्त, आप OAuth प्रवाह को सुरक्षित करने के लिए अतिरिक्त सुरक्षा उपाय लागू कर सकते हैं, जैसे कि दो-कारक प्रमाणीकरण (2FA) को लागू करना। अपडेट के बाद, यह सत्यापित करें कि स्टेट टोकन पीढ़ी में सुधार हुआ है और कोई भी पुराना टोकन अमान्य हो गया है।