CVE-2026-70556

Hubzilla 11.4 öncesi sürümler, Zotlabs\Module\Authorize::post() tarafından yönetilen OAuth2 /authorize uç noktasında bir siteler arası istek sahteciliği (CSRF) zafiyeti içermektedir; bu durum, kimliği doğrulanmamış saldırganların, CSRF belirteci veya Origin/Referer doğrulaması olmaksızın çapraz kaynaklı bir POST isteği göndererek, kimliği doğrulanmış bir kullanıcının hesabı altında rastgele OAuth2 uygulamaları kaydetmesine olanak tanır. Saldırganlar, kurban daha sonra saldırgan kontrollü istemciye karşı kimlik doğruladığında gelecekteki OAuth2 yetkilendirme kodlarının ele geçirilmesini sağlamak amacıyla; client_id, client_secret, redirect_uri ve scope dahil olmak üzere saldırgan tarafından seçilen OAuth2 parametrelerini otomatik olarak gönderen kötü amaçlı bir HTML formu oluşturarak kalıcı bir OAuth2 uygulamasını gizlice kaydedebilirler.