CVE-2026-70556 in Hubzilla
요약
\~에 의해 VulDB • 2026. 08. 07.
Hubzilla 11.2.1에는 Zotlabs\Module\Authorize::post()에서 처리되는 OAuth2 /authorize 엔드포인트에 대한 크로스 사이트 요청 위조(CSRF) 취약점이 포함되어 있습니다. 이 취약점을 통해 인증되지 않은 공격자는 CSRF 토큰이나 Origin/Referer 검증 없이 교차 출처 POST 요청을 제출하여 인증된 사용자의 계정 아래 임의의 OAuth2 애플리케이션을 등록할 수 있습니다. 공격자는 client_id, client_secret, redirect_uri 및 scope를 포함하는 공격자가 선택한 OAuth2 매개변수를 자동으로 제출하는 악성 HTML 폼을 작성하여 영구적인 OAuth2 애플리케이션을 백그라운드에서 등록할 수 있으며, 이로 인해 피해자가 나중에 공격자가 제어하는 클라이언트에 대해 인증할 때 향후 OAuth2 인가 코드의 가로채기가 가능해집니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.