HedgeDoc está faltando o parâmetro de estado em fluxos OAuth2 pode levar a CSRF

A exploração bem-sucedida desta vulnerabilidade CSRF permite que um atacante execute ações em nome de um usuário autenticado no HedgeDoc, sem o conhecimento ou consentimento do usuário. Isso pode incluir a modificação de notas, alteração de configurações de conta ou até mesmo a criação de novas contas, dependendo das permissões do usuário afetado. O impacto é amplificado em ambientes colaborativos, onde um atacante pode comprometer múltiplas contas simultaneamente. Embora a severidade seja classificada como baixa, a facilidade de exploração e o potencial para acesso não autorizado justificam uma correção imediata.

Organizations and individuals using HedgeDoc versions prior to 1.10.4, particularly those relying on social login providers for authentication, are at risk. Shared hosting environments where multiple users share the same HedgeDoc instance are also potentially more vulnerable, as a compromised user could impact other users on the same server.

• nodejs / server:

  grep -r 'OAuth2' /path/to/hedgedoc/source

• generic web:

  curl -I https://your-hedgedoc-instance/oauth2/google/callback # Check for missing state parameter

1. 2025-12-05Disclosure

   disclosure

1. Reservado2025-12-05
2. Publicada2025-12-05
3. Modificada2025-12-08
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é a atualização para a versão 1.10.4 do HedgeDoc, que inclui a correção necessária. Se a atualização imediata não for possível, considere implementar medidas de proteção CSRF adicionais, como a validação do cabeçalho Origin nas requisições OAuth2. Implementar políticas de segurança de conteúdo (CSP) também pode ajudar a mitigar o risco. Monitore os logs do HedgeDoc em busca de requisições suspeitas originadas de domínios desconhecidos.