Python Social Auth : contournement de la liaison du nonce OpenID Connect

Veille sécuritéBackend & données

P4Moyenne

Avant la version 6.2.0, Python Social Auth ne lie pas correctement le nonce OpenID Connect à la session du navigateur et à l’état OAuth ayant initié la connexion. Si un attaquant obtient un code d’autorisation inutilisé de la victime, il peut, dans la configuration décrite, détourner la connexion et être authentifié à sa place.

IdentifiantCVE-2026-115910

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif6.2.0

Source : NVD — CVE-2026-115910

Analyse technique

Le nonce est stocké dans une table d’associations partagée et sa validation vérifie son existence et son expiration, sans le rattacher à la session et à l’état OAuth initiaux. Le risque décrit dépend notamment de `DEFAULT_USE_PKCE` désactivé dans la configuration par défaut mentionnée.

Impact, versions et correctif

Événement datéLa publication NVD est datée du 2026-10-26T17:17:18.597Z, dans la période demandée; cette publication constitue l’événement retenu.

ImpactUn attaquant disposant du code d’autorisation inutilisé d’une victime peut être connecté au compte de celle-ci dans les conditions décrites.

Versions affectéesVersions antérieures à 6.2.0.

Version corrigée6.2.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.8

Publication2026-10-26T17:17:18.597Z

Mise à jour2026-10-26T18:34:17.050Z

Action recommandée

Mettre à niveau vers Python Social Auth 6.2.0 ou une version ultérieure.

Sources

NVD — CVE-2026-115910

Priorisation DFS : P4 · 1 source(s).