OAuthLib : injection JavaScript via le callback JSONP du point de révocation

Veille sécuritéBackend & données

P4Moyenne

Dans OAuthLib, un paramètre callback non validé peut être réfléchi dans les réponses JSONP du point de révocation et permettre l’exécution de JavaScript dans l’origine de l’application qui charge cette réponse. Le problème concerne les versions 0.6.1 à celles antérieures à 4.0.0 et nécessite l’activation explicite de JSONP.

IdentifiantCVE-2026-49264

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif4.0.0

Source : NVD — CVE-2026-49264

Analyse technique

Le callback fourni dans la requête n’est pas limité à un nom de fonction JavaScript valide avant d’être inclus dans le corps de la réponse.

Impact, versions et correctif

Événement datéNouvelle vulnérabilité publiée par la fiche NVD le 2026-10-13T16:17:20.560Z, date comprise dans la période demandée; il ne s’agit pas d’une simple modification administrative.

ImpactUn site qui charge comme fiable la réponse JSONP peut exécuter du JavaScript contrôlé par un attaquant dans son origine.

Versions affectéesOAuthLib >= 0.6.1 et < 4.0.0, lorsque enable_jsonp=True.

Version corrigée4.0.0

ContournementNe pas activer JSONP; l’option est désactivée par défaut.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.1

Publication2026-10-13T16:17:20.560Z

Mise à jour2026-10-13T16:17:20.560Z

Détection / vérification

Vérifier si OAuthLib est utilisé et si enable_jsonp=True est activé sur le RevocationEndpoint.

Action recommandée

Mettre à niveau OAuthLib vers la version 4.0.0 ou ultérieure; désactiver JSONP si la mise à niveau n’est pas immédiatement possible.

Sources

NVD — CVE-2026-49264

Priorisation DFS : P4 · 1 source(s).