Um problema de Cross-Site Request Forgery (CSRF) ocorre quando o Livebook é configurado para usar o Livebook Teams para identidade. A função `handle request/4` em `lib/livebook/zta/livebook teams.ex` processa callbacks do tipo OAuth que contêm um marcador `teams identity` e um parâmetro `code`. Como a função `create auth request/1` em `lib/livebook/teams/requests.ex` não gera um estado ou nonce, o sistema não consegue verificar se o callback corresponde à sessão que iniciou o login.
Um atacante na mesma organização do Livebook Teams pode iniciar um fluxo de login, capturar o código de autorização e induzir uma vítima a abrir uma URL contendo esse código. Isso faz com que a sessão da vítima seja vinculada à identidade do atacante. Consequentemente, qualquer trabalho, segredo ou dado produzido pela vítima é atribuído e acessível ao atacante, enquanto a vítima acredita estar usando sua própria conta.