Dans le flux d’autorisation par appareil RFC 8628, OAuthLib 3.3.0 à 4.0.0 ne vérifie pas correctement la présence et la validité de device_code lors de la demande de jeton. Sous les conditions décrites, un client autorisé pourrait obtenir un jeton porteur sans achever l’autorisation de l’appareil ; mettre à niveau vers 4.0.1.
Source : NVD — CVE-2026-49272
Analyse technique
La description indique qu’une requête acceptée par le validateur configuré et associée à un client ID valide peut omettre ou falsifier device_code.
Impact, versions et correctif
Détection / vérification
Vérifier les versions OAuthLib utilisées pour le flux RFC 8628 et l’application de la validation du device_code au point de terminaison de jeton.
Action recommandée
Mettre à niveau OAuthLib vers 4.0.1 ou ultérieur et vérifier la validation des demandes de jeton du flux par appareil.
Sources
Priorisation DFS : P3 · 1 source(s).