CVE-2026-72898致Mathspace百万用户信息泄露

资讯专家

在线数学学习平台Mathspace披露了一起数据泄露事件，影响超过100万人。攻击者通过该平台自托管的Metabase实例中的一个已知漏洞入侵系统，下载了用户信息。受影响人员主要来自澳大利亚和新西兰，包括学生、教师、员工以及家长/监护人。

该漏洞编号为CVE-2026-72898，属于SQL注入问题，CVSS评分为10.0。Metabase已于8月6日发布补丁，此前该漏洞曾作为0day在野被利用。补丁发布后不久，知名勒索组织ShinyHunters声称对攻击Metabase负责。

Mathspace承认，未能将Metabase的严重安全公告升级为最高优先级进行修复，直到8月29日才完成实例升级，而攻击者在8月10日就已获得未授权访问。8月27日，攻击者从其澳大利亚报告数据库中下载了数据。Mathspace在应用更新后未完成Metabase建议的受损情况检查，因此未能及时发现入侵。目前他们正在调查公告未被升级以及检查未按时完成的原因。

据披露，被窃取的数据包括姓名、用户ID、用户名、邮箱地址、邮箱验证状态、时区、国家、注册日期、最后登录及活跃日期。未暴露的数据包括学业记录、学习活动、成绩/评估记录、密码哈希、认证令牌、SSO凭据或API凭据，且数据中不包含将用户账号关联到学校的信息。

事件发生后，Mathspace已下线Metabase实例、撤销API密钥、禁用数据库访问账号、更换密码并导出日志以供调查。平台提醒受影响用户警惕可能利用窃取信息发起的钓鱼攻击，并已于上周末开始通知相关个人，同时向澳大利亚有关部门报告。

参考来源：SecurityWeek