PingPong越权文件访问与删除漏洞CVE-2026-32097

PingPong 是哈佛大学肯尼迪学院计算政策实验室开发的面向教学场景 LLM 交互与管理平台，基于 OpenAI 最新文本与语音模型构建。

一、基本情况

PingPong 是面向教学场景大语言模型（LLM）交互与管理平台，专为教师与学生设计，可快速创建、部署、管理定制化 AI 教学助手。

PingPong 基于 OpenAI 文本与语音模型教学专用 LLM 交互与管理平台，提供虚拟助教、智能问答、语音测验、学情分析一站式能力。

栋科技漏洞库关注到 PingPong 在 7.27.2 之前版本存在的越权文件访问与删除漏洞，漏洞追踪为CVE-2026-32097，CVSS 4.0评分8.6。

二、漏洞分析

CVE-2026-32097漏洞是存在于受影响版本中的安全漏洞，在 7.27.2 之前的版本中，平台对文件检索和删除操作的授权检查存在缺陷。

经过身份验证用户可能检索或删除预期授权范围之外的文件，导致检索或删除私人文件，包括用户上传的文件和模型生成的输出文件。

即使已登录用户普通权限，仅查看或参与任一对话（Thread）权限即通过构造恶意请求，跨越授权范围访问或删除其他用户私有文件。

因此，这意味着攻击者利用漏洞查看包括用户上传的素材和模型生成的输出文件，从而导致敏感信息泄露或业务数据被恶意篡改/删除。

这里必须明确的是，利用该漏洞需要身份验证和权限才能查看至少一个线程进行检索，以及身份验证和参与至少一个删除线程的权限。

三、影响范围

PingPong < 7.27.2

四、修复建议

PingPong >= 7.27.2

五、参考链接

管理员已设置登录后刷新可查看