PT-2026-68481
CVE-2026-70556
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-09-24
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Hubzilla السابقة للإصدار 11.4
الوصف
توجد مشكلة تزوير الطلبات عبر المواقع (CSRF) في نقطة نهاية OAuth2 ’/authorize‘، والتي تتم معالجتها بواسطة الدالة
post() داخل ZotlabsModuleAuthorize. يحدث هذا لأن النظام يفشل في التحقق من صحة رموز CSRF أو رؤوس Origin/Referer أثناء طلبات POST عبر الأصول. يمكن لمهاجم غير مصدق استغلال هذه الثغرة باستخدام نموذج HTML ضار لإرسال معلمات OAuth2 عشوائية، مثل client id وclient secret وredirect uri وscope. وهذا يسمح للمهاجم بتسجيل تطبيق OAuth2 دائم بصمت تحت حساب مستخدم مصدق، مما قد يؤدي إلى اعتراض رموز تفويض OAuth2 المستقبلية عندما يقوم الضحية بالمصادقة عبر العميل الذي يتحكم فيه المهاجم.التوصيات
قم بالتحديث إلى الإصدار 11.4 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’/authorize‘ أو قم بتنفيذ التحقق الصارم من Origin/Referer لطلبات التسجيل عبر OAuth2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾