Средний

Опубликована

CVE-2026-62322

Python Social Auth: Login CSRF in LINE backend (LineOAuth2) — missing OAuth state validation (incomplete fix of 5.0.0 campaign)

Публикация: 15.10.2026·Обновлена: 28.10.2026, 23:18·Europe/Moscow

Что произошло

Перевод ещё не доступен · оригинальное описание

Python Social Auth is a social authentication/registration mechanism. Prior to 5.0.2, the LINE backend exchanges an authorization code without validating the returned OAuth state. An attacker can begin authorization for an attacker-controlled LINE account and induce a victim to visit the resulting callback URL, causing the application to log the victim into the attacker's account. When account linking is enabled, the same missing validation can link the attacker's LINE identity to the victim's existing account and create a persistent unauthorized login path. Only applications with the LINE backend enabled are affected. This issue is fixed in version 5.0.2.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Сформировано автоматически из полей источников и общих шаблонов

Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

python-social-auth / social-core

{
  "status": "affected",
  "version": "< 5.0.2"
}

CVSS: оценки и векторы

CVSS 3.1 · cve6.5

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиине нужны

UI · Участие пользователятребуется

S · Область воздействияне меняется

C · Конфиденциальностьнет

I · Целостностьвысокое

A · Доступностьнет

CVSS 3.1 · security-advisories@github.com6.5

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиине нужны

UI · Участие пользователятребуется

S · Область воздействияне меняется

C · Конфиденциальностьнет

I · Целостностьвысокое

A · Доступностьнет

Классы CWE

CWE-352 ↗

Источники и ссылки

Материал · github.com · cve Материал · github.com · cve Материал · github.com · cve Материал · github.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-10-29T09:35:15.268008+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-29T01:04:07.330625+00:00"
  },
  "scores": [
    "cve",
    "nvd"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-29T01:04:07.330625+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-29T01:04:07.330625+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-10-29T09:35:15.268008+00:00"
  },
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-29T01:04:07.330625+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены29.10.2026, 12:35
Данные обновлены28.10.2026, 23:31
Опубликована28.10.2026, 20:33

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-115910 Python Social Auth: OpenID Connect nonce is not bound to the browser session, so a stolen authorization code logs the attacker in as the victim python-social-auth / social-core · social-auth-core	Средний	6.8	0,16 %	Патч	26.10.2026
CVE-2026-57175 social-auth-core has an Improper Authentication issue python-social-auth / social-core	Средний	6.4	0,23 %		24.09.2026
CVE-2026-57177 social-auth-core has Login CSRF via Missing State Parameter in LoginRadius Backend python-social-auth / social-core	Средний	4.3	0,11 %		24.09.2026
CVE-2026-57176 social-auth-core Vulnerable to Account Takeover via Identity Binding Flaw in Vend Backend python-social-auth / social-core	Средний	6.8	0,22 %		24.09.2026
CVE-2026-57178 social-auth-core: VK App backend accepts unsigned callback data when auth_key is missing python-social-auth / social-core	Высокий	7.4	0,16 %		24.09.2026