CVE-2025-68481: OAuth State Token Vulnerability in FastAPI Users

この脆弱性は、OAuthログインを使用しているアプリケーションにおいて、深刻なセキュリティリスクをもたらします。攻撃者は、有効なOAuth認証フローを傍受し、不正な状態トークンを生成することで、ユーザーになりすましてアプリケーションにアクセスできる可能性があります。これにより、機密情報の漏洩、データの改ざん、さらにはアプリケーション全体の制御権の奪取といった被害が発生する可能性があります。特に、機密性の高い情報を扱うアプリケーションや、多要素認証を導入していない環境では、この脆弱性の悪用による被害が拡大するリスクが高まります。

Applications built with FastAPI and utilizing the fastapi-users library for OAuth authentication are at risk. This includes web applications, APIs, and microservices that rely on OAuth for user authentication and authorization. Specifically, deployments using older versions of fastapi-users (<= 9.3.2) and those that haven't implemented robust token validation practices are particularly vulnerable.

• python / server:

    grep -r 'generate_state_token' /path/to/your/project/
    # Look for instances where state_data is an empty dictionary.

• python / supply-chain:

    import os
    import hashlib

    def check_fastapi_users_version():
        try:
            import fastapi_users
            version = fastapi_users.__version__
            if version <= '9.3.2':
                print(f"WARNING: fastapi-users version {version} is vulnerable.")
            else:
                print(f"fastapi-users version {version} is not vulnerable.")
        except ImportError:
            print("fastapi-users is not installed.")

    check_fastapi_users_version()

1. 2025-12-19Disclosure

   disclosure

1. 予約済み2025-12-18
2. 公開日2025-12-19
3. 更新日2025-12-20
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずFastAPI Usersをバージョン15.0.2以降にアップデートすることを推奨します。アップデートが困難な場合は、OAuthログインフローを一時的に停止するか、WAF（Web Application Firewall）を使用して不正な状態トークンを検出・ブロックするルールを実装することを検討してください。また、OAuthログインのredirect URLを厳密に検証し、信頼できるドメインのみを許可するように設定することも有効です。アップデート後、アプリケーションのOAuthログイン機能をテストし、状態トークンが正しく生成・検証されていることを確認してください。