در نسخه‌های پیش از 0.91.1 پلتفرم Hatchet (سیستم ارکستراسیون تسک‌های پس‌زمینه و AI Agents)، یک آسیب‌پذیری امنیتی با شناسه CVE-2026-61687 شناسایی شده است که امکان حمله Login CSRF و در نهایت تصاحب حساب کاربری (Account Takeover) را فراهم می‌کند.
تحلیل فنی آسیب‌پذیری
این نقص امنیتی در نحوه مدیریت Callbackهای مربوط به OAuth ریشه دارد. در متد ValidateOAuthState، مقدار oauth_state_ در Session کاربر پس از یک Callback موفق، به یک رشته خالی (Empty String) تغییر می‌یابد. مشکل اینجاست که سیستم در مراحل بعدی، پارامتر State خالی را به عنوان مقدار معتبر می‌پذیرد.
این رفتار به یک مهاجم اجازه می‌دهد تا Session فعلی قربانی در Hatchet را به یک هویت OAuth تحت کنترل مهاجم متصل (Bind) کند. برای بهره‌برداری از این آسیب‌پذیری، پیش‌نیازهای زیر باید برقرار باشد:
- قربانی باید در Session جاری، یک بار فرآیند OAuth را تکمیل کرده باشد.
- یکی از یکپارچه‌سازهای OAuth (مانند Google، GitHub یا Slack) در تنظیمات استقرار (Deployment) فعال باشد.
- قربانی باید روی یک لینک Callback دست‌کاری شده که حاوی پارامتر State خالی و کد مجوز (Authorization Code) مهاجم است، کلیک کند.
تاثیرات امنیتی
با موفقیت در اجرای این حمله، مهاجم می‌تواند دسترسی کاربر هدف را به دست آورده و کنترل حساب او را در اختیار بگیرد. با وجود اینکه پیچیدگی حمله (Attack Complexity) به دلیل نیاز به تعامل کاربر بالا است، اما شدت تاثیر (Impact) بر روی محرمانگی و یکپارچگی داده‌ها زیاد ارزیابی شده است.
راهکارهای مقابله و رفع مشکل
برای مدیران SOC و مهندسین امنیت، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی فوری: ارتقای پلتفرم Hatchet به نسخه 0.91.1 یا نسخه‌های جدیدتر.
- اقدام موقت (Stopgap): در صورتی که به‌روزرسانی سریع امکان‌پذیر نیست، یکپارچه‌سازهای OAuth (مانند Google و GitHub) را موقتاً غیرفعال کنید.
- مانیتورینگ: بررسی لاگ‌ها برای شناسایی لینک‌های Callback مشکوک که حاوی پارامترهای State خالی هستند.
