CVE-2026-0776 - Discord 客户端不受控制的搜索路径元素

概述

本仓库记录了 CVE-2026-0776，这是一个影响 Windows 上 Discord 桌面客户端的本地代码执行问题。

该漏洞与基于 Node.js 的组件中不安全的模块解析行为有关，在特定条件下可能允许从意外的文件系统位置加载 JavaScript 代码。

详情

• CWE-427：不受控制的搜索路径元素
• CVSS：7.3（高危）
• 影响：本地代码执行

在某些情况下，Discord 可能会从不受信任的位置加载 JavaScript 模块。如果攻击者能够将特制模块放置在搜索路径中，则任意 JavaScript 代码可能会在 Discord 进程内执行。

影响

成功利用可能允许：

• 执行任意 JavaScript 代码
• 以当前用户的权限执行
• 破坏应用程序运行时完整性

这不是一个远程漏洞，需要本地访问或特定的环境条件。

概念验证

附带的 PoC 是安全且无破坏性的。其唯一目的是演示模块加载行为并确认代码执行。

不包含任何持久化机制、凭据访问、系统修改或数据外泄技术。

缓解措施

• 限制对敏感目录的写入访问
• 使用应用程序控制策略（AppLocker / WDAC）
• 监控异常的模块加载活动
• 保持 Discord 更新

免责声明

本仓库仅供教育和安全研究目的使用。本文所含信息不应被用于未经授权的活动。作者对滥用本材料不承担任何责任。