CVE-2026-70556 in Hubzilla
Zusammenfassung
von VulDB • 06.08.2026
Hubzilla 11.2.1 enthält eine Cross-Site Request Forgery (CSRF)-Schwachstelle im OAuth2-/authorize-Endpunkt, der von Zotlabs\Module\Authorize::post() verarbeitet wird. Diese Schwachstelle ermöglicht es nicht authentifizierten Angreifern, beliebige OAuth2-Anwendungen unter dem Konto eines authentifizierten Benutzers zu registrieren, indem sie eine Cross-Origin POST-Anfrage ohne CSRF-Token oder Validierung von Origin/Referer absenden. Angreifer können ein bösartiges HTML-Formular erstellen, das automatisch vom Angreifer gewählte OAuth2-Parameter einschließlich client_id, client_secret, redirect_uri und scope sendet, um unauffällig eine persistente OAuth2-Anwendung zu registrieren. Dies ermöglicht die Abfangung zukünftiger OAuth2-Autorisierungscodes, wenn sich das Opfer später beim vom Angreifer kontrollierten Client anmeldet.
Once again VulDB remains the best source for vulnerability data.