CVE-2026-70556 in Hubzilla
Riassunto
di VulDB • 06/08/2026
Hubzilla 11.2.1 contiene una vulnerabilità di cross-site request forgery (CSRF) nell'endpoint /authorize di OAuth2 gestito da Zotlabs\Module\Authorize::post(), che consente ad attaccanti non autenticati di registrare applicazioni OAuth2 arbitrarie sotto l'account di un utente autenticato inviando una richiesta POST cross-origin senza validazione del token CSRF o dei campi Origin/Referer. Gli attaccanti possono creare un modulo HTML dannoso che invia automaticamente parametri OAuth2 scelti dall'attaccante, inclusi client_id, client_secret, redirect_uri e scope, per registrare silenziosamente un'applicazione OAuth2 persistente, consentendo l'intercettazione dei futuri codici di autorizzazione OAuth2 quando la vittima si autentica successivamente con il client controllato dall'attaccante.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.