CVE-2026-66885

livebook-dev livebook içerisindeki bir Siteler Arası İstek Sahteciliği (CSRF) zafiyeti, bir saldırganın kurbanın tarayıcı oturumunu kendi Livebook Teams kimliği altında kimlik doğrulamasına izin verir. Livebook, kimlik yönetimi için Livebook Teams kullanacak şekilde yapılandırıldığında, lib/livebook/zta/livebook_teams.ex dosyasındaki Livebook.ZTA.LivebookTeams.handle_request/4 fonksiyonu, teams_identity belirteci ve bir code parametresi taşıyan OAuth tarzı geri çağırmayı (callback) işler. İlgili madde, bu kodu bir erişim jetonuyla takas eder ve geri çağırmayı girişi başlatan tarayıcı oturumuna bağlayan herhangi bir değeri doğrulamadan jetonu tarayıcı oturumuna yazar. Akış başlatıldığında herhangi bir durum (state) veya nonce oluşturulmaz: lib/livebook/teams/requests.ex içindeki Livebook.Teams.Requests.create_auth_request/1 boş bir istek gövdesi gönderir, bu nedenle deneme başına hiçbir değer kaydedilmez ve geri çağırma maddesinin karşılaştırabileceği bir veri bulunmaz. Hedef örnekle aynı Livebook Teams organizasyonunda üyeliği olan bir saldırgan, giriş akışını kendisi başlatabilir, ortaya çıkan yetkilendirme kodunu kullanmadan saklayabilir ve kurbanı bu kodu taşıyan hazırlanmış bir URL'yi açmaya ikna edebilir. Kurbanın tarayıcısı takası tamamlar ve sonuçta oluşan oturum, kurbanın yerine saldırganın kimliğine bağlanır. Kurbanın herhangi bir özel ayrıcalığa sahip olması gerekmez ve kurbana ait hiçbir kimlik bilgisi sürece dahil olmaz. Zafiyet, saldırganın kurban olarak kimlik doğrulamasına izin vermez. Bunun sonucu olarak kullanıcı, aslında başka bir kimlikle işlem yaparken kendi kimlik doğrulanmış oturumunda çalıştığını sanır. Bu oturumda gerçekleştirilen çalışmalar saldırganın hesabına atanır; kurban tarafından üretilen sırlar, yüklenen veriler veya notebook sonuçları kurbanın kendi hesabında tutulmak yerine saldırgana ifşa olur. Yetkilendirme kodu, giriş akışı başladıktan sonra kısa bir süre içinde kullanılmalıdır; bu durum saldırının zamanlamasını kısıtlasa da uygulanabilirliğini engellemez. Bu sorun şu livebook sürümlerini etkilemektedir: 0.15.0 ile 0.18.7 arası ve 0.19.0 ile 0.19.9 arası.