Reviactyl 是一个使用 Laravel、React、FilamentPHP、Vite 和 Go 构建的开源游戏服务器管理面板。从版本 26.2.0-beta.1 到版本 26.2.0-beta.5 之前，OAuth 认证流程中的一个漏洞允许仅基于匹配的电子邮件地址自动关联社交帐户。攻击者可以使用受害者的电子邮件地址创建或控制一个社交帐户（例如 Google、GitHub、Discord），从而在不知道其密码的情况下获得对受害者帐户的完全访问权限。

该漏洞的影响极其严重，攻击者无需任何密码即可完全控制受影响的 Reviactyl 账户。攻击者可以利用此漏洞访问敏感数据，修改服务器配置，甚至执行恶意代码。攻击场景包括：攻击者创建一个使用受害者电子邮件地址的社交账户（例如 Google、GitHub、Discord），然后利用 Reviactyl 的 OAuth 认证流程自动关联该社交账户到受害者的 Reviactyl 账户。由于无需密码，攻击者可以绕过正常的身份验证机制，直接获得账户控制权。这种攻击模式类似于某些社交媒体平台的账户接管事件，可能导致严重的数据泄露和系统破坏。

Game server administrators and users of Reviactyl are at risk, particularly those who rely on social account linking for authentication. Shared hosting environments where multiple users share the same domain are also at increased risk, as an attacker could potentially leverage this vulnerability to compromise multiple accounts.

• linux / server:

journalctl -u reviactyl | grep -i "social account linking"

• generic web:

curl -I https://your-reviactyl-instance/auth/social/callback | grep -i "email"

1. 2026-04-01Disclosure

   disclosure

1. 已保留2026-03-27
2. 发布日期2026-04-01
3. 修改日期2026-04-03
4. EPSS 更新日期2026-04-09

缓解此漏洞的首要措施是立即将 Reviactyl 升级至 26.2.0-beta.5 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：禁用自动社交账户关联功能（如果 Reviactyl 提供了此选项）。实施更严格的 OAuth 验证策略，例如要求用户手动确认社交账户关联请求。审查 Reviactyl 的配置，确保没有其他潜在的安全漏洞。升级后，请验证 OAuth 认证流程是否正常工作，并检查是否有任何异常活动。