CVE-2023-22489 in flarum
Zusammenfassung
von VulDB • 02.06.2026
Flarum ist eine Diskussionsplattform für Websites. Wenn der erste Beitrag einer Diskussion dauerhaft gelöscht wird, die Diskussion jedoch weiterhin sichtbar bleibt, kann jeder Benutzer, der die Diskussion einsehen kann, über die REST-API eine neue Antwort erstellen, unabhängig von den Antwortberechtigungen oder dem Sperrstatus. Dies umfasst auch Benutzer, deren E-Mail-Adresse nicht verifiziert ist. Gäste können keine Antwort erfolgreich erstellen, da die API mit einem 500-Fehler fehlschlägt, wenn die Benutzer-ID 0 in die Datenbank eingefügt wird. Dies geschieht, weil das Attribut `first_post_id` der Diskussion auf `null` gesetzt wird, wenn der erste Beitrag einer Diskussion dauerhaft gelöscht wird, wodurch die Zugriffskontrolle für alle neuen Antworten umgangen wird. Flarum macht Diskussionen mit null Kommentaren automatisch unsichtbar, sodass eine zusätzliche Bedingung für diese Schwachstelle darin besteht, dass die Diskussion mindestens eine genehmigte Antwort haben muss, damit `discussions.comment_count` nach dem Löschen des Beitrags weiterhin über null liegt. Dies kann die Diskussion für unkontrollierten Spam oder unbeabsichtigte Antworten öffnen, wenn Benutzer ihre Registerkarte noch geöffnet hatten, bevor die anfällige Diskussion gesperrt wurde, und dann eine Antwort posten, obwohl sie dies nicht dürften. In Kombination mit den E-Mail-Benachrichtigungseinstellungen könnte dies auch als Mittel zum Senden unerwünschter E-Mails genutzt werden. Versionen zwischen `v1.3.0` und `v1.6.3` sind betroffen. Die Schwachstelle wurde behoben und als flarum/core v1.6.3 veröffentlicht. Alle Communities, die Flarum betreiben, sollten so schnell wie möglich ein Upgrade durchführen. Es sind keine bekannten Workarounds verfügbar.
If you want to get best quality of vulnerability data, you may have to visit VulDB.