На платформе Hack The Box разобрали машину Eloquia, где главной уязвимостью стала OAuth-интеграция, принимающая код авторизации без привязки к исходной сессии. Из-за этого атакующий может подсунуть жертве собственный код и привязать свой внешний профиль к её учётной записи.

В статье описана цепочка атаки: через HTML-редирект администратора вынуждают завершить такую привязку и войти в приложение. После этого атакующий получает доступ к админской панели уже под чужой учётной записью.

Сама по себе привязка аккаунта — штатный механизм OAuth, но здесь отсутствовала проверка, что именно текущая сессия инициировала подключение. Это классическая ошибка состояния (state) в OAuth-потоке, которую часто недооценивают при разработке.

Из доступа к админке авторы разворачивают цепочку до выполнения кода на сервере. То есть одна небрежность в обработке кода авторизации открывает путь от подмены привязки до RCE.

Практический вывод для разработчиков — жёстко привязывать код авторизации к сессии и проверять параметр state. Для пентестеров это напоминание, что OAuth-флоу стоит проверять на подмену кода в первую очередь.