CVE-2026-70556

Nome do Software Vulnerável e Versões Afetadas Hubzilla versões anteriores a 11.4

Description Um problema de cross-site request forgery (CSRF) existe no endpoint OAuth2 '/authorize', que é processado pela função post() em ZotlabsModuleAuthorize. Isso ocorre porque o sistema não valida tokens CSRF ou os cabeçalhos Origin/Referer durante requisições POST de origem cruzada. Um invasor não autenticado pode explorar isso utilizando um formulário HTML malicioso para enviar parâmetros OAuth2 arbitrários, como client id, client secret, redirect uri e scope. Isso permite que o invasor registre silenciosamente um aplicativo OAuth2 persistente na conta de um usuário autenticado, podendo levar à interceptação de futuros códigos de autorização OAuth2 quando a vítima se autenticar no cliente controlado pelo invasor.

Recommendations Atualize para a versão 11.4 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/authorize' ou implemente a validação rigorosa de Origin/Referer para requisições de registro OAuth2.