OSF 管理应用访问控制漏洞泄露用户联系资料及私有项目元数据
OSF 确认攻击者通过 16 个内部管理端点未授权访问数据。泄露内容包括姓名、邮箱、用户 ID 和项目元数据，含私有项目标题及描述。运营方称文件和密码未被访问，受影响用户数量未知。
- 披露时间
- 2026年10月29日
- 公开披露日期
- 严重程度
- 拉裤子了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- OSF 用户、版主及公开或私有项目、注册研究和预印本的所有者
- OSF · SaaS · 访问控制
- 在野利用
- 已发现
- OSF 确认未授权外部访问，并称问题已解决。
发生了什么
暴露的元数据包括 GUID、标题及描述。OSF 报告没有内容变更、删除或数据丢失。L3 反映研究平台已确认的入侵，不代表私有研究文件被下载。
案发时间线
2026年10月17日
管理端访问控制漏洞引入
2026年10月24日
日志中最早的未授权访问
2026年10月27日
禁用应用，验证修复后恢复员工访问
2026年10月29日
发布事件通知
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- OSF 事件通知一手来源确认被访问的元数据、遏制措施及排除范围，正在通知所有用户。