- Son 7 gün
- CWE-352
CVE-2026-116072
Infinity for Reddit'te OAuth girişinde CSRF açığı, saldırganın hesabına yönlendirme riski
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Infinity for Reddit 8.3.4 sürümüne kadar olan sürümlerde, dışa aktarılmış LoginChromeCustomTabActivity yönlendirme işleyicisinin sabit kodlanmış bir OAuth state değerini kontrol etmesi nedeniyle giriş amaçlı siteler arası istek sahteciliği (CSRF) açığı bulunmaktadır. Bu açık, saldırganların kurbanları saldırganın kontrolündeki bir hesaba giriş yaptırmasına olanak tanır. Saldırgan, uygulamanın istemci kimliğini kendi Reddit hesabıyla yetkilendirebilir, ardından içinde kendi kodunu ve sabit state değerini barındıran bir infinity://localhost yönlendirmesi gönderebilir. Bu durumda kurbanın gönderileri, mesajları ve tarama etkinlikleri saldırganın hesabında gerçekleşir.
Kaynaktaki açıklama (İngilizce)
Infinity for Reddit through 8.3.4 contains a login cross-site request forgery vulnerability that allows attackers to log victims into an attacker-controlled account because the exported LoginChromeCustomTabActivity redirect handler checks a hardcoded OAuth state value. Attackers can authorize the app's client ID with their own Reddit account, then deliver an infinity://localhost redirect containing their code and the constant state, causing the victim's posts, messages, and browsing to occur on the attacker's account.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Docile-Alligator Infinity for Reddit | ≤ 8.3.4 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/Docile-Alligator/Infinity-For-Reddit/issues/1975 Üçüncü taraf
- vulncheck.com/…th-login-csrf-via-loginchromecustomtabactivity Üçüncü taraf
- github.com/Docile-Alligator/Infinity-For-Reddit Diğer
- github.com/…t/activities/LoginChromeCustomTabActivity.java Diğer
- github.com/…lligator/infinityforreddit/utils/APIUtils.java Diğer
- github.com/…t/blob/v8.3.4/app/src/main/AndroidManifest.xml Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.