CVE-2026-62322 CSRF de inicio de sesión en el backend LINE de Python Social Auth
Antes de 5.0.2, el backend LINE intercambia un código de autorización sin validar el estado OAuth devuelto. Un atacante puede iniciar la autorización con una cuenta LINE propia e inducir a la víctima a visitar la URL de callback resultante, iniciando sesión en la cuenta del atacante. Con la vinculación de cuentas habilitada, también puede vincular su identidad LINE a la cuenta de la víctima y crear una vía de acceso no autorizado persistente. Solo afecta a aplicaciones con el backend LINE habilitado.
CVSS 3.1
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
python-social-auth social-core
< 5.0.2
Qué hacer
- Verificá si usás social-core y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
Python Social Auth is a social authentication/registration mechanism. Prior to 5.0.2, the LINE backend exchanges an authorization code without validating the returned OAuth state. An attacker can begin authorization for an attacker-controlled LINE account and induce a victim to visit the resulting callback URL, causing the application to log the victim into the attacker's account. When account linking is enabled, the same missing validation can link the attacker's LINE identity to the victim's existing account and create a persistent unauthorized login path. Only applications with the LINE backend enabled are affected. This issue is fixed in version 5.0.2.
Referencias (4)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.