В Python Social Auth нашли обход привязки сессии OIDC с захватом аккаунта

Уязвимость CVE-2026-115910 (CVSS 6.8) в social-auth-core до 6.2.0 позволяет внедрить код авторизации в OIDC-поток: nonce хранятся в глобальной таблице без привязки к сессии браузера. Вместе с отключённым по умолчанию PKCE это даёт захват аккаунта. Исправлено в версии 6.2.0, рекомендуется включить PKCE.

• CVE-2026-115910: CVSS 6.8, затронуты social-auth-core версий ниже 6.2.0
• Nonce проверяется по глобальной таблице, а не по сессии инициатора входа
• PKCE по умолчанию отключён, что упрощает внедрение кода авторизации
• Исправление в 6.2.0 привязывает nonce к сессии и OAuth2 state