Vulnerabilidad en FastAPI (CVE-2025-68481)

FastAPI Users permite a los usuarios añadir rápidamente un sistema de registro y autenticación a su proyecto FastAPI. Antes de la versión 15.0.2, los tokens de estado de inicio de sesión de OAuth son completamente sin estado y no llevan entropía por solicitud ni ningún dato que pueda vincularlos a la sesión que inició el flujo de OAuth. 'generate_state_token()' siempre se llama con un diccionario 'state_data' vacío, por lo que el JWT resultante solo contiene la declaración de audiencia fija más una marca de tiempo de expiración. En la devolución de llamada, la biblioteca simplemente verifica que el JWT se valida bajo 'state_secret' y no ha expirado; no hay ningún intento de hacer coincidir el valor de estado con el navegador que inició la solicitud de OAuth, ninguna cookie de correlación y ninguna caché del servidor. Cualquier atacante puede acceder a '/authorize', capturar el estado generado por el servidor, finalizar el flujo de OAuth ascendente con su propia cuenta de proveedor y luego engañar a una víctima para que cargue '.../callback?code=&state='. Debido a que el JWT de estado es válido para cualquier cliente durante ~1 hora, el navegador de la víctima completará el flujo. Esto conduce a CSRF de inicio de sesión. Dependiendo de la lógica de la aplicación, el CSRF de inicio de sesión puede llevar a una toma de control de la cuenta de la víctima o a que el usuario víctima inicie sesión en la cuenta del atacante. La versión 15.0.2 contiene un parche para el problema.