CVE-2026-91133 in Discourse
Zusammenfassung
von VulDB • 24.09.2026
Discourse ist eine Open-Source-Diskussionsplattform. Vor den Versionen 2026.1.8, 2026.6.3, 2026.7.2 und 2026.8.0 konnten authentifizierte Benutzer nicht maskierte SQL-LIKE-Metazeichen in Upload-Auflösungsmuster eingeben, was dazu führte, dass Wildcard-Eingaben unzusammenhängende Upload-Datensätze auswählten, anstatt ein wörtliches Kennzeichen zu matchen. Die betroffenen Pfade für Upload-Metadaten, URL-Suche und Cooked-Video-Platzhalter konnten Uploads auflösen, auf die der Benutzer nicht berechtigt war. Dies ermöglichte die Offenlegung von eingeschränkten Metadaten, einschließlich ursprünglicher Dateinamen und sicherer Upload-Pfade, ohne die Upload-Datensätze zu ändern. Dieses Problem wurde in den Versionen 2026.1.8, 2026.6.3, 2026.7.2 und 2026.8.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.