CVE-2026-24332 – Fuga de presencia en el modo invisible de Discord

Resumen

Este repositorio documenta CVE-2026-24332, un problema no parcheado que afecta la privacidad del cliente y la API de Discord. La vulnerabilidad permite a clientes externos determinar si un usuario marcado como Invisible está realmente en línea.

Detalles

• CWE-200: Exposición de información sensible
• CVSS: 4.3 (Medio)
• Estado: Sin parchear (a partir de 2026)
• Impacto: Fuga de privacidad

El sistema de presencia por WebSocket de Discord incluye a los usuarios Invisibles en el array presences, mientras que los usuarios realmente desconectados son excluidos. Esta discrepancia permite a un atacante inferir el estado real en línea de un usuario incluso cuando este intenta ocultarlo.

Impacto

Una explotación exitosa podría permitir:

• Detección del estado real en línea/desconectado de un usuario
• Seguimiento de los patrones de actividad del usuario
• Elusión de los controles de privacidad previstos por Discord

Esto no es una vulnerabilidad de ejecución remota de código. Es estrictamente un problema de divulgación de información.

Prueba de concepto