HedgeDoc में OAuth2 फ्लो में स्टेट पैरामीटर की कमी CSRF का कारण बन सकती है

यह CSRF भेद्यता HedgeDoc के OAuth2 सोशल लॉगिन एंडपॉइंट्स को प्रभावित करती है, जैसे Google, GitHub, GitLab, Facebook और Dropbox। हमलावर इस भेद्यता का उपयोग उपयोगकर्ता के खाते को नियंत्रित करने, संवेदनशील डेटा तक पहुंचने या अनधिकृत क्रियाएं करने के लिए कर सकते हैं। चूंकि OAuth2 लॉगिन का उपयोग अक्सर अन्य सेवाओं तक पहुंच को अधिकृत करने के लिए किया जाता है, इसलिए इस भेद्यता का शोषण करने से हमलावर अन्य प्रणालियों में भी प्रवेश कर सकते हैं। यह विशेष रूप से चिंताजनक है क्योंकि CSRF हमलों को लागू करना अपेक्षाकृत आसान है, जिससे यह भेद्यता व्यापक शोषण के लिए अतिसंवेदनशील हो जाती है।

Organizations and individuals using HedgeDoc versions prior to 1.10.4, particularly those relying on social login providers for authentication, are at risk. Shared hosting environments where multiple users share the same HedgeDoc instance are also potentially more vulnerable, as a compromised user could impact other users on the same server.

• nodejs / server:

  grep -r 'OAuth2' /path/to/hedgedoc/source

• generic web:

  curl -I https://your-hedgedoc-instance/oauth2/google/callback # Check for missing state parameter

1. 2025-12-05Disclosure

   disclosure

1. आरक्षित2025-12-05
2. प्रकाशित2025-12-05
3. संशोधित2025-12-08
4. EPSS अद्यतन2026-03-23

CVE-2025-66629 को कम करने के लिए, HedgeDoc के संस्करण 1.10.4 में अपग्रेड करना आवश्यक है। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग CSRF हमलों को रोकने के लिए किया जा सकता है। WAF को OAuth2 एंडपॉइंट्स के लिए CSRF टोकन सत्यापन लागू करने के लिए कॉन्फ़िगर किया जाना चाहिए। इसके अतिरिक्त, सोशल लॉगिन प्रदाताओं के लिए अतिरिक्त प्रमाणीकरण परतें, जैसे दो-कारक प्रमाणीकरण (2FA), लागू करने से हमले की सतह को कम करने में मदद मिल सकती है। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि CSRF सुरक्षा ठीक से काम कर रही है, OAuth2 लॉगिन प्रक्रिया का परीक्षण करें।