OAuthLibで認証済みクライアントが別クライアントの権限を流用できる脆弱性
Summary
OAuthLibの一部のトークン発行処理に、権限の確認を誤る脆弱性（CVE-2026-118669）が見つかりました。権限の低いクライアントが、認証に使ったものとは別のclient_idを指定すると、ほかのクライアントの権限でトークンが発行されるおそれがあります。影響を受けるのは4.0.0より前のOAuthLibで、修正版は4.0.0です。client_idを引数に使って認可を判断している場合は、早めに4.0.0へ更新することをおすすめします。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
OAuthLibの一部のトークン発行処理に、権限の確認を誤る脆弱性（CVE-2026-118669）が見つかりました。権限の低いクライアントが、認証に使ったものとは別のclient_idを指定すると、ほかのクライアントの権限でトークンが発行されるおそれがあります。影響を受けるのは4.0.0より前のOAuthLibで、修正版は4.0.0です。client_idを引数に使って認可を判断している場合は、早めに4.0.0へ更新することをおすすめします。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| oauthlib | oauthlib | — | — |
Original description The description as published by the source.
OAuthLib is an implementation of the OAuth request-signing logic for Python 3.6+. Prior to 4.0.0, the client_credentials and Resource Owner Password Credentials token grant handlers can authenticate request.client as one confidential client while retaining an attacker-supplied request.client_id for validate_grant_type and validate_scopes. A lower-privilege authenticated client can therefore cause grant and scope authorization to use another client's identity when an application validator relies on the documented client_id argument, potentially issuing tokens with unauthorized grants or scopes. Validators that authorize exclusively from request.client may not be affected. This issue is fixed in version 4.0.0.
Source: CVE.org (CVE Program・cvelistV5) NVD