CVE-2025-56400CVE-2025-56400是Tuya SDK 6.5.0中OAuth实现存在的跨站请求伪造漏洞。该漏洞存在于Tuya Smart和Smartlife移动应用中，影响使用该SDK的第三方应用程序。攻击者可通过构造恶意授权链接，利用OAuth流程中的state参数验证缺陷，将攻击者的Amazon Alexa账户与受害者的Tuya账户绑定。攻击成功后，攻击者能够远程控制受害者的智能设备，包括摄像头、门铃、门锁和报警系统等。
该漏洞的根本原因在于OAuth 2.0授权流程中缺少state参数验证。攻击者构造包含预设state值的授权请求，诱导受害者点击后完成授权。系统未验证state参数的唯一性和时效性，导致攻击者可重放授权请求或劫持授权流程。