CVE-2026-24332 – Discord 隐身模式在线状态泄露

摘要

本仓库记录了 CVE-2026-24332，这是一个影响 Discord 客户端和 API 的未修复隐私问题。 该漏洞允许外部客户端判断被标记为 Invisible（隐身）的用户是否实际在线。

详情

• CWE-200：敏感信息暴露
• CVSS：4.3（中危）
• 状态：未修复（截至 2026 年）
• 影响：隐私泄露

Discord 的 WebSocket 在线状态系统会将隐身用户包含在 presences 数组中，而真正离线的用户则会被 排除在外。这一差异使得攻击者能够推断出用户真实的在线状态，即使用户试图隐藏它。

影响

成功利用该漏洞可能导致：

• 检测用户真实的在线/离线状态
• 追踪用户活动模式
• 绕过 Discord 预期的隐私控制

这并非远程代码执行漏洞。它严格来说是一个信息泄露问题。

概念验证

所包含的 PoC 安全且无破坏性。 它仅利用 Discord 的公共网关行为来演示在线状态推断。

不会执行任何账户接管、凭据访问或未经授权的操作。

免责声明

本仓库仅供教育和研究目的使用。