Tinyauth में सिंगलटन सर्विस इंस्टेंस पर साझा किए गए परिवर्तनीय स्टेट के माध्यम से OAuth अकाउंट भ्रम है

CVE-2026-33544 tinyauth में, कुछ परिस्थितियों में, एक हमलावर किसी अन्य उपयोगकर्ता के रूप में OAuth लॉगिन करने में सक्षम हो सकता है। यह OAuth कार्यान्वयनों (GenericOAuthService, GithubOAuthService, GoogleOAuthService) के भीतर PKCE सत्यापनकर्ताओं और एक्सेस टोकन के प्रबंधन में एक रेस कंडीशन के कारण है। यदि दो उपयोगकर्ता एक साथ समान OAuth प्रदाता के साथ लॉग इन करने का प्रयास करते हैं, तो एक दुर्भावनापूर्ण निष्पादन दूसरे उपयोगकर्ता की प्रमाणीकरण जानकारी को रोक सकता है और उसका उपयोग कर सकता है, जिससे उसके खाते तक अनधिकृत पहुंच प्राप्त हो सकती है। CVSS स्कोर 7.7 है, जो मध्यम से उच्च जोखिम दर्शाता है।

Applications utilizing the tinyauth library for OAuth authentication are at risk. This includes Go-based applications that rely on tinyauth for handling OAuth flows, particularly those deployed in environments with high user concurrency or shared hosting configurations where multiple users might share resources.

• linux / server: Monitor application logs for unusual login patterns or session activity. Specifically, look for multiple logins from the same IP address within a short timeframe.

journalctl -u tinyauth -f | grep "session" | grep "race condition"

• generic web: Examine access logs for requests to OAuth endpoints originating from the same IP address but associated with different user accounts within a short time window.

grep "oauth/callback" /var/log/apache2/access.log | awk '{print $1}' | sort | uniq -c | sort -nr | head -n 10

1. 2026-04-01Disclosure

   disclosure

1. आरक्षित2026-03-20
2. प्रकाशित2026-04-01
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-10

अनुशंसित समाधान tinyauth को संस्करण 1.0.1-0.20260401140714-fc1d4f2082a5 में अपग्रेड करना है। यह संस्करण संवेदनशील OAuth डेटा तक समवर्ती पहुंच की सुरक्षा के लिए उपयुक्त सिंक्रनाइज़ेशन तंत्र को लागू करके रेस कंडीशन को ठीक करता है। पहचान की चोरी के जोखिम को कम करने के लिए इस अपडेट को जल्द से जल्द लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, सर्वोत्तम सुरक्षा प्रथाओं, जैसे कि दर सीमित करना और बहु-कारक प्रमाणीकरण के कार्यान्वयन को सुनिश्चित करने के लिए OAuth कॉन्फ़िगरेशन की समीक्षा करें।