CVE-2026-26077 in Discourse
Zusammenfassung
von VulDB • 25.06.2026
Discourse ist eine Open-Source-Diskussionsplattform. Vor den Versionen 2025.12.2, 2026.1.1 und 2026.2.0 akzeptierten mehrere Webhook-Endpunkte (SendGrid, Mailjet, Mandrill, Postmark, SparkPost) im `WebhooksController` Anfragen ohne ein gültiges Authentifizierungstoken, wenn kein Token konfiguriert war. Dies ermöglichte es nicht authentifizierten Angreifern, Webhook-Payloads zu fälschen und die Bounce-Scores von Benutzern künstlich in die Höhe zu treiben, was dazu führen konnte, dass E-Mails legitimer Benutzer deaktiviert wurden. Der Mailpace-Endpunkt führte überhaupt keine Token-Validierung durch. Ab den Versionen 2025.12.2, 2026.1.1 und 2026.2.0 lehnen alle Webhook-Endpunkte Anfragen mit einer 406-Antwort ab, wenn kein Authentifizierungstoken konfiguriert ist. Als Workaround stellen Sie sicher, dass für alle E-Mail-Anbieter-Integrationen in den Site-Einstellungen (z. B. `sendgrid_verification_key`, `mailjet_webhook_token`, `postmark_webhook_token`, `sparkpost_webhook_token`) Webhook-Authentifizierungstokens konfiguriert sind. Vor der Anwendung dieses Fixes gibt es keinen aktuellen Workaround für Mailpace.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.