Avo 漏洞 CVE-2026-55518 可致 Rails 应用程序遭受权限提升攻击

sec随谈
sec随谈

sec随谈

2026年6月22日 11:30
北京

在小说阅读器读本章

去阅读

概要

Avo HQ 于2026年6月17日修复了其 Rails 管理框架中的一个严重授权绕过漏洞。该漏洞被追踪为 CVE-2026-55518，允许低权限用户关联其本无权控制的相关记录，攻击者可借此实现权限提升或暴露租户数据。

漏洞的重要性

Avo 为众多 Ruby on Rails 团队的管理面板、仪表板和内部工具提供支持。这些应用程序通常将团队、租户、角色和成员关系建模为关联关系。因此，能够关联任意记录的攻击者可跨越租户边界进行越权访问。GitHub 安全公告对该漏洞的评分为 9.6，接近严重性评分的最高值。任何向非管理员用户开放 Avo 访问权限的生产环境应用程序均面临真实风险。

攻击原理

Avo 仅在表单路径（即 GET /new 路由）上检查关联权限，而对应的写入端点（即向关联路由发送的 POST 请求）则跳过了该检查。低权限但已通过身份验证的用户可直接发送精心构造的 POST 请求，服务器随即写入关联关系，即便策略明确拒绝该操作。因此，隐藏或禁用的 UI 按钮无法提供任何防护。该绕过漏洞对应 CWE-862（缺少授权）和 CWE-639。

受影响版本

3.32.0 及以下的所有 Avo 版本均存在该漏洞，4.0 测试版系列中从 4.0.0-beta.1 至 4.0.0-beta.50 的版本同样受到影响。

补丁修复与缓解措施

Avo HQ 已在 v3.32.1 版本及 4.0.0-beta.51 中修复该漏洞，请立即完成升级。修复完成后，还需在创建操作而非仅在表单上强制执行关联授权检查，并添加回归测试，在关联策略返回 false 的情况下直接向关联路由发送 POST 请求进行验证。目前尚未报告在野利用行为，但安全公告已包含可运行的概念验证代码，因此请将此 Avo 授权绕过漏洞作为紧急事项优先处理。

参考链接：

https://github.com/avo-hq/avo/releases/tag/v3.32.1