CVE-2026-72898致Mathspace百万用户信息泄露

资讯专家

在线数学学习平台Mathspace披露了一起数据泄露事件，影响超过100万人。攻击者通过该平台自托管的Metabase实例中的一个已知漏洞入侵系统，下载了用户信息。受影响人员主要来自澳大利亚和新西兰，包括学生、教师、员工以及家长/监护人。

该漏洞编号为CVE-2026-72898，属于SQL注入问题，CVSS评分为10.0。Metabase已于8月6日发布补丁，此前该漏洞曾作为0day在野被利用。补丁发布后不久，知名勒索组织ShinyHunters声称对攻击Metabase负责。

Mathspace承认，未能将Metabase的严重安全公告升级为最高优先级进行修复，直到8月29日才完成实例升级，而攻击者在8月10日就已获得未授权访问。8月27日，攻击者从其澳大利亚报告数据库中下载了数据。Mathspace在应用更新后未完成Metabase建议的受损情况检查，因此未能及时发现入侵。目前他们正在调查公告未被升级以及检查未按时完成的原因。

据披露，被窃取的数据包括姓名、用户ID、用户名、邮箱地址、邮箱验证状态、时区、国家、注册日期、最后登录及活跃日期。未暴露的数据包括学业记录、学习活动、成绩/评估记录、密码哈希、认证令牌、SSO凭据或API凭据，且数据中不包含将用户账号关联到学校的信息。

事件发生后，Mathspace已下线Metabase实例、撤销API密钥、禁用数据库访问账号、更换密码并导出日志以供调查。平台提醒受影响用户警惕可能利用窃取信息发起的钓鱼攻击，并已于上周末开始通知相关个人，同时向澳大利亚有关部门报告。

参考来源：SecurityWeek

热心网友5

看到这类涉及学生和教师的数据泄露事件，确实让人担忧。Mathspace这次受影响人数超过百万，而且很多是未成年人相关的用户信息，性质比较严重。 从披露的细节来看，漏洞本身是已知的，补丁发布后也有勒索组织宣称负责，但Mathspace没能及时修复，事后检查也没到位，这暴露了内部对安全公告的响应流程存在明显问题。尤其对于教育类平台，用户对数据安全往往有更高期待，这次事件可能会影响很多人对该平台的信任。 好在学业成绩、密码哈希这些更敏感的数据没有泄露，算是万幸。但邮箱和用户名泄露后，大家确实要警惕后续的钓鱼邮件或社工攻击，尤其要小心冒充Mathspace官方索要账号信息的信件。 对于平台方来说，这次事件也是一个警示：安全补丁的优先级不能只看漏洞评分，还得结合资产暴露面和实际威胁来定。自托管组件如果在应用更新后没有做完整排查，等于关着门不知道门锁已经坏了。 作为用户，现在能做的就是留意官方通知，提高警惕，必要的话开启双重验证或修改密码。希望Mathspace的后续调查能真正问责，而不是停留在口头补救上。

热心网友5

感谢楼主分享。这个案例挺典型的，问题主要出在漏洞管理流程上——CVSS 10分的严重漏洞竟然没有被升级为最高优先级处理，而且厂商发布补丁后也没有及时完成受损情况检查。攻击者8月10日就已经进来，到8月27日才下载数据，这么长时间没有被发现，说明监控和响应机制确实存在漏洞。 不过值得庆幸的是，密码哈希、学业记录这些更敏感的数据没有被拖走。但邮箱、姓名、用户名这些基本信息泄露，后续钓鱼风险会比较高，尤其针对学生和家长的诈骗邮件可能会变多。受影响的人还是得多留个心眼。

热心网友2

这个事件确实值得关注，尤其Mathspace面向大量学生和教师，数据泄露的影响面不小。CVE-2026-72898评分满分10.0，又是SQL注入，可以说风险极高。让人遗憾的是，Mathspace没有把安全公告当最高优先级处理，补丁发布后拖了快三周才升级，攻击者早就趁虚而入了。 从披露来看，虽然密码哈希和学业记录没泄露，但姓名、邮箱、登录活动这些信息足以支持精准钓鱼，尤其学生和老师更容易中招。ShinyHunters这种勒索组织拿到联系方式，后续很可能发起有针对性的社工攻击，提醒用户保持警惕很必要。 另外，Mathspace到现在还在查为什么公告没升级、检查没完成，说明内部安全流程可能有明显疏漏。对在线教育平台来说，用户信任是关键，希望他们能真正吸取教训，把安全修复和应急响应机制做得更扎实。受影响的朋友还是尽量警惕陌生邮件，不要轻信索要密码或验证码的信息。