PT-2025-52412 · Unknown · Fastapi-Sso

David Borș · Publicado 2025-12-19 · Atualizado 2025-12-19 · CVE-2025-14546

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do fastapi-sso anteriores à 0.19.0

Descrição O software está suscetível a Falsificação de Solicitação Entre Sites (CSRF) devido à validação inadequada do parâmetro de estado OAuth durante o callback de autenticação. O método get login url gera um valor de estado, mas não o armazena nem o associa à sessão do usuário. Posteriormente, o método verify and process aceita o parâmetro de estado dos parâmetros de consulta sem compará-lo a um valor confiável armazenado localmente. Isso permite que um atacante induza um usuário a visitar um URL de callback malicioso, potencialmente vinculando a conta do atacante à conta interna do usuário.

Recomendações Atualize para a versão 0.19.0 ou posterior.

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2025-14546

GHSA-HP6R-R9VC-Q8WX

Produtos afetados

Fastapi-Sso

Referências · 11

• https://github.com/tomasvotava/fastapi-sso · Nota
• https://github.com/tomasvotava/fastapi-sso/commit/6117d1a5ad498ba57d671e8a059ebe20db5abe02 · Nota
• https://github.com/tomasvotava/fastapi-sso/issues/266 · Nota
• https://osv.dev/vulnerability/CVE-2025-14546 · Aviso do Fabricante
• https://security.snyk.io/vuln/SNYK-PYTHON-FASTAPISSO-14386403 · Nota
• https://twitter.com/VulmonFeeds/status/2002020588462690726 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2002099191334776878 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-14546 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-hp6r-r9vc-q8wx · Aviso do Fabricante
• https://t.me/CVEtracker/40239 · Publicação no Telegram
• https://t.me/cveNotify/146293 · Publicação no Telegram