CVE-2026-70556

Hubzilla-nın 11.4 versiyasından əvvəlki versiyalarında Zotlabs\Module\Authorize::post() tərəfindən idarə olunan OAuth2 /authorize son nöqtəsində saytlararası sorğu saxtakarlığı (CSRF) zəifliyi mövcuddur. Bu zəiflik, autentifikasiya olunmamış hücumçulara CSRF tokeni və ya Origin/Referer təsdiqi olmadan çarpaz mənşəli POST sorğusu göndərməklə, autentifikasiya olunmuş istifadəçinin hesabı altında ixtiyari OAuth2 tətbiqlərini qeydiyyatdan keçirməyə imkan verir. Hücumçular client_id, client_secret, redirect_uri və scope daxil olmaqla özlərinin seçdiyi OAuth2 parametrlərini avtomatik göndərən zərərli HTML forması yarada bilərlər ki, bu da davamlı OAuth2 tətbiqinin gizli şəkildə qeydiyyatdan keçirilməsini təmin edir. Beləliklə, qurban daha sonra hücumçunun nəzarət etdiyi kliyent vasitəsilə autentifikasiyadan keçdikdə, gələcək OAuth2 avtorizasiya kodlarının ələ keçirilməsi mümkün olur.