Authlib 存在一键账号接管漏洞

该 CSRF 漏洞允许攻击者在受影响的应用程序中执行未经授权的操作，例如更改用户密码、修改个人资料或执行其他敏感操作。由于状态值可以通过攻击者发起的身份验证流程轻松获得，因此攻击者可以诱骗用户点击恶意链接或访问恶意网站，从而接管其账户。这种攻击方式的潜在影响非常严重，可能导致数据泄露、财务损失和声誉损害。该漏洞的利用方式类似于其他 CSRF 漏洞，但由于其缓存状态存储的特性，攻击的成功率可能更高。

Applications utilizing Authlib for OAuth 2.0 or OpenID Connect authentication, particularly those relying solely on Authlib's built-in state management without additional CSRF protections, are at significant risk. This includes web applications, APIs, and microservices that integrate with Authlib for authentication purposes.

• python / server:

import hashlib

def check_authlib_version():
    import authlib
    version = authlib.__version__
    if version <= '1.6.5':
        print(f"Authlib version {version} is vulnerable to CVE-2025-68158. Upgrade to 1.6.6 or later.")
    else:
        print(f"Authlib version {version} is not vulnerable.")

check_authlib_version()

• generic web: Use a web proxy or browser extension to inspect network traffic during authentication flows. Look for requests containing state parameters that are not properly validated or tied to the user's session.

1. 2026-01-08Disclosure

   disclosure

1. 已保留2025-12-15
2. 发布日期2026-01-08
3. 修改日期2026-03-30
4. EPSS 更新日期2026-03-23

修复此漏洞的首要措施是升级 Authlib 库至 1.6.6 或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施，例如使用更严格的 CSRF 保护机制，例如验证请求来源或使用双因素身份验证。此外，建议审查应用程序的代码，以确保所有身份验证相关的操作都受到适当的保护。在升级后，请务必验证修复是否成功，例如通过模拟攻击场景来测试账户接管的可能性。