CVE-2026-91133 in Discourse
الملخص
بحسب VulDB • 24/09/2026
Discourse هو منصة نقاش مفتوحة المصدر. قبل الإصدارات 2026.1.8، و2026.6.3، و2026.7.2، و2026.8.0، كان بإمكان المستخدمين المصادق عليهم تزويد أنماط دقة التحميل بـ SQL LIKE metacharacters غير مُهروبَة (unescaped)، مما أدى إلى استخدام مدخلات ذات رموز بدلية (wildcard input) لاختيار سجلات تحميل غير ذات صلة بدلاً من مطابقة معرّف حرفي. يمكن للبيانات الوصفية للتحميل المتأثرة، ومسارات البحث عبر URL، ومسارات علامات الفيديو المطبوخة (cooked-video-placeholder) أن تحلّ روابط التحميل التي لم يكن للمستخدم صلاحية الوصول إليها. سمح هذا بكشف البيانات الوصفية المقيدة، بما في ذلك أسماء الملفات الأصلية والمسارات الخاصة بالتحميلات الآمنة، دون تعديل سجلات التحميل. تم إصلاح هذه المشكلة في الإصدارات 2026.1.8، و2026.6.3، و2026.7.2، و2026.8.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.