یک آسیب‌پذیری امنیتی بحرانی با شناسه CVE-2026-92161 در افزونه FriendsOfFlarum OAuth برای پلتفرم Flarum کشف شده است که امتیاز 9.8 (Critical) در مقیاس CVSS را دریافت کرده است. این نقص امنیتی به مهاجمان اجازه می‌دهد بدون نیاز به تعامل کاربر یا داشتن رمز عبور، حساب‌های کاربری از جمله حساب‌های مدیر (Administrator) را به طور کامل تصاحب کنند.
جزئیات فنی آسیب‌پذیری
این مشکل در نسخه‌های پیش از 1.7.4 و 2.0.0-beta.4 رخ می‌دهد و به‌طور خاص زمانی فعال می‌شود که قابلیت ورود از طریق Discord فعال باشد. ریشه این آسیب‌پذیری در عدم بررسی فیلد verified در ایمیلی است که توسط Discord بازگردانده می‌شود. افزونه مذکور، ایمیل‌های دریافتی از Discord را بدون تایید صحت (Verification)، به عنوان ایمیل‌های مورد اعتماد به هسته Flarum ارسال می‌کند.
سناریوی حمله (Attack Vector)
- مهاجم ابتدا ایمیل هدف (قربانی) را شناسایی می‌کند.
- یک حساب Discord با همان ایمیل ایجاد می‌کند اما آن را تایید (Verify) نمی‌کند (در عوض از شماره تلفن برای تایید حساب استفاده می‌کند).
- با ورود به Flarum از طریق Discord، افزونه این ایمیل تایید نشده را به عنوان «معتبر» شناساند و هویت Discord مهاجم را به حساب موجود کاربر در Flarum متصل می‌کند.
- در نهایت، مهاجم بدون نیاز به رمز عبور، دسترسی کامل به حساب قربانی پیدا می‌کند.
اقدامات اصلاحی و توصیه‌ها
برای رفع این تهدید، مدیران سیستم‌های Flarum باید اقدامات زیر را سریعاً اجرا کنند:
- به‌روزرسانی فوری: ارتقای افزونه به نسخه‌های 1.7.4 یا 2.0.0-beta.4.
- کاهش ریسک سریع: در صورتی که به‌روزرسانی فوری امکان‌پذیر نیست، باید قابلیت ورود از طریق Discord را به‌طور کامل غیرفعال کنند.
- حسابرسی (Audit): بررسی لاگ‌های ورود و رویدادهای اتصال حساب (Account-linking) برای شناسایی هرگونه دسترسی غیرمجاز، به‌ویژه در حساب‌های سطح Administrator.
