导读
启用Discord第三方登录的Flarum论坛受此漏洞影响，未经身份验证的攻击者即可接管他人账户。受影响的站长应立即将fof/oauth升级至1.7.4或更高版本；使用2.0测试版的用户应升级至2.0.0-beta.4或更高版本。
据公告说明，问题出在邮箱信任环节：Discord允许用户在手机号已验证的情况下使用未经验证的邮箱地址，登录时可能返回带有“未验证”标记的邮箱。而受影响版本的fof/oauth没有校验这一标记，直接把该邮箱当作可信邮箱交给Flarum核心处理，从而让攻击者有机会冒充对应邮箱的账户持有人登录。
Flarum是使用PHP编写的流行论坛程序，不少海外华人社区、兴趣论坛和开源项目社区都在使用。受影响的站长应立即将fof/oauth升级至1.7.4或更高版本；使用2.0测试版的用户应升级至2.0.0-beta.4或更高版本。在完成升级前，也可以考虑暂时关闭Discord第三方登录入口，降低暴露面。
安全专家提醒，第三方登录（OAuth）插件是论坛、商城等PHP应用的常见组件，这类过度信任外部平台返回信息的问题近年来屡有披露。站长应定期盘点自己网站启用的插件和扩展，并及时跟进官方安全公告。
来源：GitHub安全公告
