CVE-2025-68481: Stateless OAuth em fastapi-users

A principal consequência desta vulnerabilidade é o potencial para sequestro de autorização OAuth. Um atacante pode interceptar ou manipular o token de estado OAuth, permitindo que ele se autentique como um usuário legítimo sem possuir suas credenciais. Isso pode levar ao acesso não autorizado a dados sensíveis, modificação de informações ou execução de ações em nome do usuário afetado. A ausência de entropia nos tokens torna a previsão e o sequestro relativamente simples, aumentando o risco de exploração. A vulnerabilidade é particularmente preocupante em aplicações que dependem fortemente do OAuth para autenticação, pois compromete a segurança do processo de login.

Applications built with FastAPI and utilizing the fastapi-users library for OAuth authentication are at risk. This includes web applications, APIs, and microservices that rely on OAuth for user authentication and authorization. Specifically, deployments using older versions of fastapi-users (<= 9.3.2) and those that haven't implemented robust token validation practices are particularly vulnerable.

• python / server:

    grep -r 'generate_state_token' /path/to/your/project/
    # Look for instances where state_data is an empty dictionary.

• python / supply-chain:

    import os
    import hashlib

    def check_fastapi_users_version():
        try:
            import fastapi_users
            version = fastapi_users.__version__
            if version <= '9.3.2':
                print(f"WARNING: fastapi-users version {version} is vulnerable.")
            else:
                print(f"fastapi-users version {version} is not vulnerable.")
        except ImportError:
            print("fastapi-users is not installed.")

    check_fastapi_users_version()

1. 2025-12-19Disclosure

   disclosure

1. Reservado2025-12-18
2. Publicada2025-12-19
3. Modificada2025-12-20
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é a atualização para a versão 15.0.2 do pacote fastapi-users. Se a atualização imediata não for possível devido a problemas de compatibilidade, considere implementar medidas de segurança adicionais, como a validação rigorosa dos tokens de estado OAuth no lado do servidor e a implementação de um sistema de detecção de anomalias para identificar tentativas de sequestro. Além disso, revise e reforce as políticas de segurança OAuth da sua aplicação para garantir que os tokens de estado sejam tratados com o devido cuidado e proteção. Após a atualização, confirme a correção verificando se os novos tokens de estado OAuth são gerados com entropia adequada e estão vinculados à sessão de autenticação correta.