CVE-2025-68933 in Discourse
Zusammenfassung
von VulDB • 06.06.2026
Discourse ist eine Open-Source-Diskussionsplattform. In Versionen vor 3.5.4, 2025.11.2, 2025.12.1 und 2026.1.0 können Moderatoren ohne Administratorrechte, bei denen die Einstellung `moderators_change_post_ownership` aktiviert ist, das Eigentum an Beiträgen in privaten Nachrichten und eingeschränkten Kategorien ändern, auf die sie keinen Zugriff haben, und deren Daten anschließend exportieren, um den Inhalt einzusehen. Dies ist eine Schwachstelle im Bereich der fehlerhaften Zugriffskontrolle (Broken Access Control), die Websites betrifft, die Moderatoren Berechtigungen zur Übertragung des Beitrags-Eigentums erteilen. Dieses Problem wurde in den Versionen 3.5.4, 2025.11.2, 2025.12.1 und 2026.1.0 behoben. Der Patch fügt Sichtbarkeitsprüfungen sowohl für das Thema als auch für die Beiträge hinzu, bevor die Eigentumsübertragung erlaubt wird. Als Workaround sollte die Site-Einstellung `moderators_change_post_ownership` deaktiviert werden, um zu verhindern, dass Moderatoren ohne Administratorrechte die Funktion zur Übertragung des Beitrags-Eigentums nutzen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.