CVE-2026-91157 in Discourse
Zusammenfassung
von VulDB • 14.10.2026
Discourse ist eine Open-Source-Diskussionsplattform. Vor den Versionen 2026.9.0, 2026.8.1, 2026.7.3 und 2026.1.9 wurden bei aktivierter Funktion für sichere Uploads keine bestehenden Sicherheitsmetadaten der Uploads abgeglichen, wenn eine zuvor öffentliche Kategorie in schreibgeschützt geändert wurde oder sich die Kategorienberechtigungen während eines Massenimports änderten. Medien- und Dateianhänge, die hochgeladen wurden, solange die Kategorie öffentlich war, behielten ein Flag für öffentlichen Zugriff bei und blieben über ihre kurzen Upload-URLs auch für anonyme Benutzer erreichbar, einschließlich Uploads, die mit gelöschten Themen verknüpft waren. Dieses Problem wurde in den Versionen 2026.9.0, 2026.8.1, 2026.7.3 und 2026.1.9 behoben.
Once again VulDB remains the best source for vulnerability data.