Veille sécuritéBackend & données
P3Élevée
Dans certaines configurations, les validateurs de type de grant et de scopes peuvent se fonder sur un client_id fourni par l’attaquant plutôt que sur le client authentifié. Mettre à niveau OAuthLib vers 4.0.0 et vérifier que les autorisations sont liées à l’identité du client authentifié.
Python
IdentifiantCVE-2026-118669
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif4.0.0
Source : CVE-2026-118669 — NVD
Analyse technique
Le client authentifié et le client_id utilisé par certains validateurs peuvent diverger; l’impact dépend de l’implémentation des validateurs.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-28T22:17:12.610Z, soit le 2026-10-29T00:17:12.610+02:00, dans la période retenue.
ImpactUn client authentifié de moindre privilège peut, selon les validateurs utilisés, obtenir des grants ou scopes non autorisés.
Versions affectéesVersions antérieures à 4.0.0
Version corrigée4.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.4
EPSS0,31% · percentile 24,1%
Publication2026-10-29T00:17:12.610+02:00
Mise à jour2026-10-29T18:19:37.750+02:00
Détection / vérification
Repérer OAuthLib antérieur à 4.0.0 et vérifier les validateurs des flux client_credentials et password.
Action recommandée
Mettre à niveau vers OAuthLib 4.0.0 ou une version ultérieure et contrôler les validateurs de grants et de scopes.
Sources
Priorisation DFS : P3 · 1 source(s).