PT-2025-41596 · Pypi+4 · Oauthlib+4

Al-Cybision · Publicado 2025-10-02 · Atualizado 2026-06-03 · CVE-2025-61920

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do Software Vulnerável e Versões Afetadas Versões do Authlib anteriores a 1.6.5

Descrição O Authlib, uma biblioteca Python para construção de servidores OAuth e OpenID Connect, possui uma falha em sua implementação JOSE. A biblioteca aceita segmentos de cabeçalho e assinatura JWS/JWT sem limites de tamanho. Um atacante pode criar um token com um cabeçalho ou assinatura codificados em base64url muito extensos, potencialmente consumindo recursos excessivos de CPU e memória, levando a uma negação de serviço. A biblioteca decodifica e analisa toda a entrada antes de rejeitá-la.

Recomendações Atualize para a versão 1.6.5 ou posterior do Authlib. Imponha limites de tamanho de entrada antes de passar tokens para o Authlib. Implemente limitação de taxa a nível de aplicação para reduzir o risco de amplificação.

Exploit

Correção

DoS

Resource Exhaustion

Allocation of Resources Without Limits

RCE

Enumeração de Fraquezas

CWE-400

CWE-770

CWE-20

Identificadores relacionados

BDU:2026-03457

CVE-2025-61920

DLA-4352-1

GHSA-PQ5P-34CR-23V9

OPENSUSE-SU-2025:15629-1

SUSE-SU-2025:3754-1

USN-8065-1

Produtos afetados

Oauthlib

Debian

Linuxmint

Red Os

Ubuntu

Referências · 36

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/61xxx/CVE-2025-61920.json · Exploit
• https://github.com/authlib/authlib · Nota
• https://github.com/authlib/authlib/security/advisories/GHSA-pq5p-34cr-23v9 · Aviso do Fabricante
• https://github.com/authlib/authlib/commit/867e3f87b072347a1ae9cf6983cc8bbf88447e5e · Correção
• https://ubuntu.com/security/notices/USN-8065-1 · Aviso do Fabricante
• https://bugzilla.suse.com/1251921 · Nota
• http://repo.red-soft.ru/redos/8.0/x86_64/updates · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2025-62706 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2025-68158 · Aviso do Fabricante
• https://access.redhat.com/security/cve/cve-2025-61920 · Nota
• https://reddit.com/r/VulnMatter/comments/1o5knot/resumen_diario_de_vulnerabilidades_13102025 · Publicação no Reddit
• https://nvd.nist.gov/vuln/detail/CVE-2025-61920 · Nota de Segurança
• https://suse.com/security/cve/CVE-2025-61920 · Nota
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-python-authlib-cve-2025-61920-7.3 · Nota
• https://osv.dev/vulnerability/ROOT-APP-PYPI-CVE-2025-61920 · Aviso do Fabricante