CVE-2026-49952｜Discuz!身份认证绕过漏洞可导致RCE（POC）

alicy
alicy

信安百科

2026年7月22日 09:00
河北

在小说阅读器读本章

去阅读

免责声明：本文漏洞技术细节均来源于公开可查证的安全研究资料，仅供安全研究和防御参考。请勿将文中技术细节用于非授权安全测试。受影响系统请尽快参照厂商安全公告进行修复。

0x00 前言

Discuz! 是中国互联网最早也最广泛使用的论坛/BBS 系统之一，最初由康盛创想（Comsenz Technology）开发，该公司于 2010 年 8 月被腾讯收购。在巅峰时期（约 2010 年），Discuz! 驱动了大约 140 万个活跃网站，绝大多数位于中国，处理着海量的流量和用户数据。

由于其如此广泛的部署，Discuz! 历史上的任何安全漏洞都具有巨大的影响范围，往往引发大规模的自动化攻击。

Discuz! X5.0 于 2026 年 3 月 20 日正式发布，是这一演进线的最新一代产品。它引入了大幅现代化的架构，要求 PHP 8.0+ 和 MySQL 5.7+ 运行环境，并带来了全新的模板系统、原生国际化支持和自动更新机制。

尽管 X5.0 配备了更强的安全防御层——包括基于令牌的 CSRF 防护、更严格的输入过滤和高级数据库抽象层——但在遗留特性与新应用逻辑的交叉地带，仍然产生了微妙的架构盲区。CVE-2026-49952正是诞生于这种\"新旧系统\"交叠的灰色地带。

0x01 漏洞描述

在 Discuz! X5.0 版本中，由于系统以“独立模式”（默认配置）安装时，

在 /config/config\_ucenter.php 配置文件中将UC\_KEY常量直接赋值为全局authkey 设置的值

define('UC\_KEY',$\_config['security']['authkey'])，导致同一加密密钥被UCenter集成和数据库备份/恢复API（/api/db/dbbak.php）等多个组件共用。

攻击者可通过在登录请求中设置 lssubmit 参数，触发 logging\_ctl::logging\_more() 方法使用该全局 authkey 加密受控输入并返回密文（充当加密预言机），从而构造出有效签名令牌，绕过 /api/db/dbbak.php 的授权校验，获得未授权的数据库导入导出访问权限，并可通过条件竞争最终实现任意用户身份伪造或结合其他漏洞实现远程代码执行。

0x02 CVE编号

CVE-2026-49952

0x03 影响版本

20260320 <= Discuz! <= 20260501

0x04 漏洞详情

0x05  个人观察与判断

CVE-2026-49952 是 Discuz! X5.0 中一个 CVSS 9.1 的严重认证绕过漏洞，其根因是 UC\_KEY 与全局 authkey 共享同一密钥，导致密码学隔离彻底失效。

攻击者通过在登录接口的 username 参数中注入载荷，将 logging\_ctl::logging\_more() 作为加密预言机获取合法令牌，从而绕过 dbbak.php 的授权校验，再串联竞态条件和 LFI（KIS-2026-11）最终实现无需认证的远程代码执行。

我的判断是：这个漏洞的典型性远超其严重性。密钥复用、加密预言机滥用、多漏洞链式串联，每一项都不是新概念，但它们同时出现在一个拥有百万级用户基数的成熟开源项目中，暴露了一个深层问题——安全工程的基本功，而非前沿攻防技术，才是整个行业最薄弱的环节。

开源项目默认配置从\"可用性\"而非\"最小权限\"出发的惯性，在安全领域始终是一颗定时炸弹。

0x06 参考链接

Karma(In)Security, KIS-2026-09. Discuz! X5.0 (UC\_KEY) Cross-Context Token Reuse Vulnerability 技术描述.

https://karmainsecurity.com/KIS-2026-09

Karma(In)Security, Chaining Security Bugs in Discuz! X5.0: from Race Condition to Pre-Auth RCE. 漏洞链利用分析博客.

https://karmainsecurity.com/chaining-bugs-in-discuz-from-race-condition-to-rce

Gitee.com, DiscuzX Commit 9962dad. 官方修复提交.

https://gitee.com/Discuz/DiscuzX/commit/9962dad52c4c6999dabaf91ecd70377c680ff3c6

https://www.exploit-db.com/exploits/52621

— END —

请阅读至此的你随手点个红心❤