文章总结： AvoHQ于2026年6月17日修复了RubyonRails管理框架中的授权绕过漏洞CVE-2026-55518，该漏洞允许低权限用户越权关联记录导致权限提升或租户数据泄露，CVSS评分达9.6。受影响版本包括3.32.0及以下和4.0测试版至beta.50，官方已在v3.32.1和4.0.0-beta.51中修复并建议立即升级，同时需在创建操作时强制关联授权检查并添加回归测试。 综合评分： 85 文章分类： 漏洞分析,应急响应,安全建设,解决方案,应用安全

Avo 漏洞 CVE-2026-55518 可致 Rails 应用程序遭受权限提升攻击

sec随谈 sec随谈

sec随谈

2026年6月22日 11:30 北京

在小说阅读器读本章

去阅读

概要

Avo HQ 于2026年6月17日修复了其 Rails 管理框架中的一个严重授权绕过漏洞。该漏洞被追踪为 CVE-2026-55518，允许低权限用户关联其本无权控制的相关记录，攻击者可借此实现权限提升或暴露租户数据。

漏洞的重要性

Avo 为众多 Ruby on Rails 团队的管理面板、仪表板和内部工具提供支持。这些应用程序通常将团队、租户、角色和成员关系建模为关联关系。因此，能够关联任意记录的攻击者可跨越租户边界进行越权访问。GitHub 安全公告对该漏洞的评分为 9.6，接近严重性评分的最高值。任何向非管理员用户开放 Avo 访问权限的生产环境应用程序均面临真实风险。

攻击原理

Avo 仅在表单路径（即 GET /new 路由）上检查关联权限，而对应的写入端点（即向关联路由发送的 POST 请求）则跳过了该检查。低权限但已通过身份验证的用户可直接发送精心构造的 POST 请求，服务器随即写入关联关系，即便策略明确拒绝该操作。因此，隐藏或禁用的 UI 按钮无法提供任何防护。该绕过漏洞对应 CWE-862（缺少授权）和 CWE-639。

受影响版本

3.32.0 及以下的所有 Avo 版本均存在该漏洞，4.0 测试版系列中从 4.0.0-beta.1 至 4.0.0-beta.50 的版本同样受到影响。

补丁修复与缓解措施

Avo HQ 已在 v3.32.1 版本及 4.0.0-beta.51 中修复该漏洞，请立即完成升级。修复完成后，还需在创建操作而非仅在表单上强制执行关联授权检查，并添加回归测试，在关联策略返回 false 的情况下直接向关联路由发送 POST 请求进行验证。目前尚未报告在野利用行为，但安全公告已包含可运行的概念验证代码，因此请将此 Avo 授权绕过漏洞作为紧急事项优先处理。

参考链接：

https://github.com/avo-hq/avo/releases/tag/v3.32.1

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《Avo 漏洞 CVE-2026-55518 可致 Rails 应用程序遭受权限提升攻击》