Veille sécuritéBackend & données
P4Moyenne
Dans OAuthLib, les comparaisons des valeurs code_verifier et des challenges PKCE utilisent une égalité de chaînes ordinaire, susceptible de révéler des informations de préfixe par mesure du temps. L’exploitation pratique est compliquée par le besoin d’intercepter un code d’autorisation à usage unique et par le bruit réseau; le problème est corrigé dans la version 4.0.0.
Python
IdentifiantCVE-2026-49265
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif4.0.0
Source : NVD — CVE-2026-49265
Analyse technique
Les vérifications PKCE pour les méthodes code_challenge_method_plain et code_challenge_method_s256 emploient une comparaison non constante en temps.
Impact, versions et correctif
Événement datéNouvelle vulnérabilité publiée par la fiche NVD le 2026-10-13T16:17:20.713Z, date comprise dans la période demandée; la mise à jour de la fiche à 17:17:41.003Z est également dans cette période.
ImpactDans des conditions exigeantes, une fuite temporelle pourrait aider à retrouver un code_verifier et compromettre l’obtention d’un jeton d’accès.
Versions affectéesOAuthLib >= 3.0.0 et < 4.0.0.
Version corrigée4.0.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.8
Publication2026-10-13T16:17:20.713Z
Mise à jour2026-10-13T17:17:41.003Z
Détection / vérification
Examiner l’usage d’OAuthLib pour le flux PKCE et vérifier la version installée.
Action recommandée
Mettre à niveau OAuthLib vers la version 4.0.0 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).