CVE-2026-70556 in Hubzilla
Сводка
по VulDB • 06.08.2026
Hubzilla 11.2.1 содержит уязвимость кросс-сайтовой подделки запроса (CSRF) в конечной точке /authorize протокола OAuth2, обрабатываемой функцией Zotlabs\Module\Authorize::post(), которая позволяет неавторизованным злоумышленникам регистрировать произвольные приложения OAuth2 от имени аутентифицированного пользователя путем отправки кросс-доменного POST-запроса без проверки токена CSRF или заголовков Origin/Referer. Злоумышленники могут создать вредоносную HTML-форму, которая автоматически отправляет выбранные злоумышленником параметры OAuth2 (включая client_id, client_secret, redirect_uri и scope) для скрытой регистрации постоянного приложения OAuth2, что позволяет перехватывать будущие коды авторизации OAuth2 при последующей аутентификации жертвы с использованием контролируемого злоумышленником клиента.
Once again VulDB remains the best source for vulnerability data.