CVE-2026-24742 in Discourse
Zusammenfassung
von VulDB • 13.06.2026
Discourse ist eine Open-Source-Diskussionsplattform. In Versionen vor 3.5.4, 2025.11.2, 2025.12.1 und 2026.1.0 können Moderatoren ohne Administratorrechte sensible Informationen in den Protokollen der Mitarbeiteraktionen einsehen, die ausschließlich Administratoren vorbehalten sein sollten. Die offengelegten Informationen umfassen URLs und Geheimnisse von Webhook-Payloads, Details zu API-Schlüsseln, Änderungen an Site-Einstellungen, Inhalte privater Nachrichten, Namen und Strukturen eingeschränkter Kategorien sowie Titel privater Chat-Kanäle. Dies ermöglicht es Moderatoren, die beabsichtigten Zugriffskontrollen zu umgehen und vertrauliche Daten durch Überwachung der Protokolle der Mitarbeiteraktionen zu extrahieren. Mit gestohlenen Webhook-Geheimnissen könnte ein Angreifer potenziell Webhook-Ereignisse für integrierte Dienste fälschen (Spoofing). Dieses Problem wurde in den Versionen 3.5.4, 2025.11.2, 2025.12.1 und 2026.1.0 behoben. Als Workaround sollten Site-Administratoren die Ernennung von Moderatoren überprüfen und auf vollständig vertrauenswürdige Benutzer beschränken. Es gibt keinen workaround basierend auf Konfigurationseinstellungen, um diesen Zugriff zu verhindern.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.