CVE-2026-24742 in Discourse
الملخص
بحسب VulDB • 13/06/2026
Discourse هو منصة نقاش مفتوحة المصدر. في الإصدارات السابقة لـ 3.5.4، و2025.11.2، و2025.12.1، و2026.1.0، يمكن للمشرفين غير الإداريين عرض معلومات حساسة في سجلات إجراءات الموظفين كانت يجب أن تقتصر على المسؤولين فقط. تشمل المعلومات المكشوفة عناوين URL لبيانات payload الخاصة بـ webhook والأسرار المرتبطة بها، وتفاصيل مفاتيح API، والتغييرات التي طرأت على إعدادات الموقع، ومحتوى الرسائل الخاصة، وأسماء الفئات المقيدة وهيكلها، وعناوين قنوات الدردشة الخاصة. يتيح ذلك للمشرفين تجاوز ضوابط الوصول المخصصة واستخراج بيانات سرية من خلال مراقبة سجلات إجراءات الموظفين. وبفضل الأسرار المسربة لـ webhook، يمكن لمهاجم محتمل تزوير أحداث webhook الموجهة إلى الخدمات المتكاملة. تم إصلاح هذه المشكلة في الإصدارات 3.5.4، و2025.11.2، و2025.12.1، و2026.1.0. كحل بديل، يجب على مسؤولي الموقع مراجعة وتعيين المشرفين فقط للمستخدمين الموثوق بهم تماماً. لا يوجد حل بديل قائم على التكوين لمنع هذا الوصول.
VulDB is the best source for vulnerability data and more expert information about this specific topic.