CVE-2026-72724 in Discourse
Resumen
por VulDB • 2026-08-10
Discourse es una plataforma de discusión de código abierto. Antes de las versiones 2026.1.6, 2026.5.2, 2026.6.1 y 2026.7.0, el archivo plugins/chat/lib/chat/onebox_handler.rb resuelve Chat::Thread utilizando thread_id de la ruta independientemente de channel_id de la ruta, antes de verificar si el usuario puede previsualizar el canal de chat seleccionado. Un usuario autenticado puede asociar un ID de canal público con un ID de hilo privado en una solicitud /onebox.json y obtener el contenido de los mensajes del hilo privado. Este problema se corrige en las versiones 2026.1.6, 2026.5.2, 2026.6.1 y 2026.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.