CVE-2026-118669：OAuthLib 令牌授權可被攻擊者利用偽造 client_id 取得未授權許可權
CVE-2026-118669 - OAuthLib: Token grants can use attacker-supplied client_id for authorization after authenticating a different client
OAuthLib 在 4.0.0 之前的版本中，token 授權處理可能被低許可權客戶端利用偽造 client_id 取得未授權許可權。
此 CVE 說明 OAuthLib 在 token 授權時可能被攻擊者利用低許可權客戶端偽造身份，建議立即升級至 4.0.0 並審查驗證邏輯。
譯文尚未完整，完整內容請切換至原文。
OAuthLib 是針對 Python 3.6+ 的 OAuth 請求簽名邏輯實作。4.0.0 之前，client_credentials 與 Resource Owner Password Credentials 令牌授權處理程式可以將 request.client 認證為一個機密客戶端，同時保留攻擊者提供的 request.client_id 用於 validate_grant_type 與 validate_scopes。較低許可權的已驗證客戶端因此可能使授權與範圍授權使用另一個客戶端的身份，當應用程式驗證器依賴檔案化的 client_id 引數時，可能發行未授權的授權或範圍。僅從 request.client 授權的驗證器可能不受影響。此問題已在 4.0.0 版修復。
影響
受影響產品
以下產品受到 CVE-2026-118669 漏洞影響。
即使 cvefeed.io 瞭解受影響產品的確切版本，該資訊並未在下表中呈現。
尚未編錄受影響產品
共通漏洞評分系統 (Common Vulnerability Scoring System) 是一個標準化框架，用於評估軟體與系統漏洞的嚴重程度。我們收集並顯示來自各來源的 CVSS 分數，針對每個 CVE。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 4.0 | 高 | [email protected] |
升級 OAuthLib 至 4.0.0 或更高版本以修正客戶端身份驗證問題。
- 升級 OAuthLib 至 4.0.0 或更高版本。
- 檢閱並更新應用程式驗證器以處理客戶端身份驗證。
- 確保驗證器僅使用 request.client 進行授權。
在此，您將找到一份精選的外部連結清單，提供關於 CVE-2026-118669 的深入資訊、實用解決方案與有價值的工具。
雖然 CVE 會識別特定漏洞例項，CWE 則分類可能導致漏洞的常見缺陷或弱點。CVE-2026-118669 與以下 CWE 相關聯：
Common Attack Pattern Enumeration and Classification
(CAPEC)
儲存攻擊模式，這些模式是對常見屬性與對手用以利用CVE-2026-118669弱點的做法的描述。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表是已在 GitHub 發布的公開漏洞和概念驗證集合（按最近更新排序）。
結果僅限前 15 個倉庫，因為可能存在效能問題。
以下列表為在文章中提及CVE-2026-118669漏洞的新聞。
以下表格列出了CVE-2026-118669漏洞隨時間所作的變更。
漏洞歷史細節有助於瞭解漏洞的演變，以及識別可能影響漏洞嚴重度、可利用性或其他特徵的最新變更。
-
新 CVE 已收到 由 [email protected]
十月. 28, 2026
動作 型別 舊值 新值 新增 說明 OAuthLib 是 Python 3.6+ 的 OAuth 請求簽名邏輯實作。4.0.0 之前，client_credentials 與 Resource Owner Password Credentials 令牌授權處理器可將 request.client 認證為一個機密客戶端，同時保留攻擊者提供的 request.client_id 用於 validate_grant_type 與 validate_scopes。低許可權已認證的客戶端因此可能使授權與範圍授權使用另一個客戶端的身份，當應用程式驗證器依賴於檔案化的 client_id 引數時，可能發行帶有未授權授權或範圍的令牌。僅從 request.client 進行授權的驗證器可能不受影響。此問題已於 4.0.0 版修復。 新增 CVSS V4.0 AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CWE CWE-863 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/118xxx/CVE-2026-118669.json">CVE-2026-118669</a> 新增 參考 https://github.com/oauthlib/oauthlib/commit/c951a1d09f99f14e3240973fa83c4f4287d4753d 新增 參考 https://github.com/oauthlib/oauthlib/pull/920 新增 參考 https://github.com/oauthlib/oauthlib/releases/tag/v4.0.0 新增 參考 https://github.com/oauthlib/oauthlib/security/advisories/GHSA-7984-qgvg-3j9c
EPSS 是對未來 30 天內可觀察到的利用活動機率的每日估計。以下圖表顯示該漏洞的 EPSS 分數歷史。