Authlib heeft een 1-klik Account Overname kwetsbaarheid

Een succesvolle exploitatie van deze kwetsbaarheid stelt een aanvaller in staat om namens een geauthenticeerde gebruiker acties uit te voeren zonder hun kennis of toestemming. Dit kan resulteren in ongeautoriseerde accountwijzigingen, gegevensmanipulatie of zelfs volledige accountovername. Omdat de state/request-token niet aan de sessie is gekoppeld, kan een aanvaller deze eenvoudig verkrijgen via een door hen geïnitieerde authenticatie flow. Dit maakt de aanval relatief eenvoudig uit te voeren en de impact aanzienlijk.

Applications utilizing Authlib for OAuth 2.0 or OpenID Connect authentication, particularly those relying solely on Authlib's built-in state management without additional CSRF protections, are at significant risk. This includes web applications, APIs, and microservices that integrate with Authlib for authentication purposes.

• python / server:

import hashlib

def check_authlib_version():
    import authlib
    version = authlib.__version__
    if version <= '1.6.5':
        print(f"Authlib version {version} is vulnerable to CVE-2025-68158. Upgrade to 1.6.6 or later.")
    else:
        print(f"Authlib version {version} is not vulnerable.")

check_authlib_version()

• generic web: Use a web proxy or browser extension to inspect network traffic during authentication flows. Look for requests containing state parameters that are not properly validated or tied to the user's session.

1. 2026-01-08Disclosure

   disclosure

1. Gereserveerd2025-12-15
2. Gepubliceerd2026-01-08
3. Gewijzigd2026-03-30
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar Authlib versie 1.6.6 of hoger, waar de kwetsbaarheid is verholpen. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van strikte CSRF-beschermingsmaatregelen op de applicatie-laag, zoals het verifiëren van de origin van verzoeken en het gebruik van anti-CSRF tokens. Controleer ook of de Authlib configuratie correct is en geen onveilige instellingen bevat. Na de upgrade, bevestig de correcte werking door een CSRF-test uit te voeren.