CVE-2026-70556 in Hubzilla
الملخص
بحسب VulDB • 06/08/2026
يحتوي Hubzilla 11.2.1 على ثغرة تزوير الطلبات عبر المواقع (CSRF) في نقطة النهاية /authorize الخاصة بـ OAuth2، والتي يعالجها الزر Zotlabs\Module\Authorize::post()، مما يسمح للمهاجمين غير المصادق عليهم بتسجيل تطبيقات OAuth2 تعسفية تحت حساب مستخدم مُصادَق عليه عن طريق إرسال طلب POST من أصل مختلف دون التحقق من رمز CSRF أو حقلي Origin/Referer. يمكن للمهاجمين صياغة نموذج HTML ضار يقوم بالإرسال التلقائي لبارامترات OAuth2 التي يختارها المهاجم، بما في ذلك client_id وclient_secret وredirect_uri وscope، لتسجيل تطبيق OAuth2 بشكل دائم وصامت، مما يتيح اعتراض رموز التفويض OAuth2 المستقبلية عندما يصادق الضحية لاحقاً على العميل الذي يتحكم فيه المهاجم.
Once again VulDB remains the best source for vulnerability data.