CVE-2026-66885

livebook-dev livebook proqramındakı Saytlararası Sorğu Saxtalaşdırılması (CSRF) zəifliyi hücumçuya qurbanın brauzer sessiyasını öz Livebook Teams kimliyi altında autentifikasiya etməyə imkan verir. Livebook kimlik üçün Livebook Teams istifadə edildikdə konfiqurasiya olunduqda, lib/livebook/zta/livebook_teams.ex faylındakı Livebook.ZTA.LivebookTeams.handle_request/4 funksiyası teams_identity markerini və code parametrini daşıyan OAuth tipli geri çağırışı (callback) emal edir. Bu bənd həmin kodu giriş tokeni ilə dəyişdirir və geri çağırışın daxilolma prosesini başladan brauzer sessiyasına bağlı olduğunu təsdiqləyən heç bir dəyəri yoxlamadan tokeni brauzer sessiyasına yazır. Axın başladığı zaman heç bir state və ya nonce yaradılmır: lib/livebook/teams/requests.ex faylındakı Livebook.Teams.Requests.create_auth_request/1 boş sorğu gövdəsi göndərir, buna görə də hər cəhd üçün heç bir dəyər qeydiyyata alınmır və geri çağırış bəndinin müqayisə edəcəyi heç nə olmur. Hədəf instansiya ilə eyni Livebook Teams təşkilatının üzvü olan hücumçu daxilolma axınını özü başlatdıra, nəticədə alınan avtorizasiya kodunu istifadə etmədən saxlaya və qurbana həmin kodu daşıyan xüsusi hazırlanmış URL-ni açdırmaqla onu aldata bilər. Qurbanın brauzeri mübadiləni tamamlayır və nəticədə yaranan sessiya qurbanın deyil, hücumçunun kimliyinə bağlanır. Qurbandan hər hansı xüsusi imtiyaza malik olması tələb olunmur və qurbana məxsus heç bir etibarnamə prosesə cəlb edilmir. Zəiflik hücumçuya qurban kimi autentifikasiya olmağa imkan vermir. Nəticə etibarilə, istifadəçi özünün autentifikasiya edilmiş sessiyasında işlədiyini düşünür, lakin əslində başqa bir kimlik kimi fəaliyyət göstərir. Həmin sessiyada yerinə yetirilən işlər hücumçunun hesabına aid edilir və qurban tərəfindən yaradılan sirlər, yüklənmiş məlumatlar və ya notebook nəticələri qurbanın öz hesabında saxlanmaq əvəzinə hücumçuya açıq olur. Avtorizasiya kodu daxilolma axını başladıqdan sonra qısa müddət ərzində istifadə edilməlidir ki, bu da hücumun vaxtını məhdudlaşdırır, lakin onun mümkünlüyünü aradan qaldırmır. Bu problem livebook versiyalarını əhatə edir: 0.15.0-dan 0.18.7-yə qədər və 0.19.0-dan 0.19.9-a qədər.