CVE-2026-24055 — Langfuse 中未经身份验证的 Slack OAuth 安装

Web 与应用安全课程项目 — 第 06 组，班级 NT213.Q21.ANTT

📌 摘要

本项目复现了一个已公开的真实安全漏洞（CVE-2026-24055）， 该漏洞存在于 Langfuse 平台 — 一个 OAuth 端点允许攻击者将 Slack workspace 绑定到他人的项目，且无需登录。

项目包括：搭建模拟存在漏洞版本和已修补版本的 Docker 环境， 逐步实施利用，并验证补丁正常工作。通过此过程实践分析 OAuth 流程中的访问控制漏洞，这是一项在构建或 审计 Web 认证系统时可直接应用的技能。

展示的技能： OAuth2 流程分析、Docker、阅读安全公告、编写技术报告、 安全测试。

---

目录

• 漏洞描述
• 系统要求
• 运行前准备
• 利用演示 — Vulnerable v3.146.0
• 验证补丁 — Patched v3.147.0
• 关闭环境
• 参考资料

---

漏洞描述

CVE-2026-24055 是 Langfuse 中从版本 3.89.0 到 3.146.0 的 Improper Access Control 漏洞。

端点 /api/public/slack/install 不要求身份验证，允许攻击者仅需知道 projectId 即可将自己的 Slack workspace 绑定到任何项目。当受害者创建发送通知到 Slack 的自动化时，整个 prompt 内容将泄露到攻击者的 workspace。

属性	详情
CWE	CWE-284 — Improper Access Control
受影响版本	Langfuse 3.89.0 – 3.146.0
已修补版本	Langfuse 3.147.0
GitHub Advisory	GHSA-pvq7-vvfj-p98x
NVD	CVE-2026-24055

攻击流程

---

系统要求

工具	最低版本
Docker Desktop	24.0+
Docker Compose	v2
Git	任意
RAM	8 GB

---

运行前准备

创建 Slack App

Slack API 允许使用 http://localhost:3000 作为 Redirect URL。

1. 访问 https://api.slack.com/apps → Create New App → From scratch
2. 命名 app，选择 workspace
3. 进入 OAuth & Permissions → Redirect URLs → 添加：

   http://localhost:3000
   

4. 保存 Client ID 和 Client Secret

---

利用演示 — Vulnerable v3.146

步骤 1 — 配置环境

cd vulnerable
cp .env.example .env

打开 .env 文件，填写以下值：

NEXTAUTH_URL=http://localhost:3000
SLACK_CLIENT_ID=<your-slack-client-id>
SLACK_CLIENT_SECRET=<your-slack-client-secret>
SLACK_STATE_SECRET=any-random-string

步骤 2 — 启动 Langfuse v3.146.0

docker compose up -d

检查容器是否就绪：

docker compose ps

等待约 30–60 秒。所有容器必须处于 Up (healthy) 状态。

步骤 3 — 创建账户

访问 http://localhost:3000：

1. 受害者账户

   • 注册账户，创建 Organization → 创建 Project
   • 进入 Settings → 记录 Project ID

2. 攻击者账户

   • 打开隐身标签页，注册另一个账户（或不登录）

步骤 4 — 实施利用

在攻击者的浏览器上（无需登录 Langfuse），访问：

http://localhost:3000/api/public/slack/install?projectId=<victim-project-id>

流程如下：

• 服务器不检查身份验证，直接重定向到 Slack OAuth
• 登录攻击者的 Slack workspace → 点击 Allow
• 攻击者的 workspace 已绑定到受害者的项目

步骤 5 — 确认数据泄露

使用受害者账户登录：

1. 进入 Settings → Integrations → 检查 Slack 已连接（攻击者的 workspace）
2. 创建 Automation：Prompts → Automations → New
   • Trigger: Prompt created / updated / deleted
   • Action: Slack → 选择 channel
3. 受害者创建一个新 prompt
4. 攻击者的 Slack 收到包含 prompt 元数据的通知（名称、版本、标签、tags）

---

验证补丁 — Patched v3.147

步骤 1 — 关闭旧环境

cd ../vulnerable
docker compose down

步骤 2 — 启动 Langfuse v3.147.0

cd ../patched
cp .env.example .env
# 填写与 vulnerable 部分相同的值
docker compose up -d

步骤 3 — 重新运行利用

尝试不登录：

http://localhost:3000/api/public/slack/install?projectId=<any-project-id>

预期结果 — HTTP 401：

{ "error": "Authentication required" }

尝试以攻击者身份登录，使用受害者的 projectId：

http://localhost:3000/api/public/slack/install?projectId=<victim-project-id>

预期结果 — HTTP 403：

{ "error": "You do not have permission to configure Slack for this project" }

漏洞已完全修补。

---

关闭环境

docker compose down

如果要删除所有数据（volumes）：

docker compose down -v

---

目录结构

cve-2026-24055/
├── README.md                  ← 本文件
├── vulnerable/
│   ├── docker-compose.yml     ← Langfuse v3.146.0（存在漏洞）
│   └── .env.example
└── patched/
    ├── docker-compose.yml     ← Langfuse v3.147.0（已修补）
    └── .env.example

---

参考资料

• GitHub Security Advisory — GHSA-pvq7-vvfj-p98x
• NVD — CVE-2026-24055
• Commit fix — 3adc89e