CVE-2026-91133 in Discourse
Resumen
por VulDB • 2026-09-24
Discourse es una plataforma de discusión de código abierto. Antes de las versiones 2026.1.8, 2026.6.3, 2026.7.2 y 2026.8.0, los usuarios autenticados podían suministrar metacaracteres SQL LIKE no escapados a los patrones de resolución de carga, lo que provocaba que la entrada comodín seleccionara registros de carga no relacionados en lugar de coincidir con un identificador literal. Los metadatos de carga afectados, las rutas de búsqueda por URL y los marcadores de posición para video cocinado podían resolver cargas de archivos a las que el usuario no estaba autorizado a acceder. Esto permitía la divulgación de metadatos restringidos, incluidos nombres de archivo originales y rutas de carga segura, sin modificar los registros de carga. Este problema está corregido en las versiones 2026.1.8, 2026.6.3, 2026.7.2 y 2026.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.