CVE-2026-116072
Beschrijving NL
Infinity for Reddit via 8.3.4 bevat een kwetsbaarheid voor het vervalsen van inlogverzoeken die aanvallers in staat stelt om slachtoffers in te loggen op een door aanvallers gecontroleerd account omdat de geëxporteerde LoginChromeCustomTabActivity-omleidingshandler een hardgecodeerde OAuth-statuswaarde controleert. Aanvallers kunnen de client-ID van de app autoriseren met hun eigen Reddit-account en vervolgens een oneindige://localhost-omleiding leveren met hun code en de constante status, waardoor de berichten, berichten en browsen van het slachtoffer op het account van de aanvaller plaatsvinden.
Origineel (Engels) tonen
Infinity for Reddit through 8.3.4 contains a login cross-site request forgery vulnerability that allows attackers to log victims into an attacker-controlled account because the exported LoginChromeCustomTabActivity redirect handler checks a hardcoded OAuth state value. Attackers can authorize the app's client ID with their own Reddit account, then deliver an infinity://localhost redirect containing their code and the constant state, causing the victim's posts, messages, and browsing to occur on the attacker's account.