CVE-2022-46177 in Discourse
Résumé
par VulDB • 27/05/2026
Discourse est une plateforme de discussion open source. Avant les versions 2.8.14 sur la branche `stable` et 3.0.0.beta16 sur les branches `beta` et `tests-passed`, lorsqu'un utilisateur demande un lien de réinitialisation de mot de passe par e-mail, puis modifie son adresse e-mail principale, l'ancien e-mail de réinitialisation reste valide. Lorsque l'ancien e-mail de réinitialisation est utilisé pour réinitialiser le mot de passe, l'adresse e-mail principale du compte Discourse est de nouveau liée à l'ancien e-mail. Si l'ancienne adresse e-mail est compromise ou a changé de propriétaire, cela entraîne une prise de contrôle du compte. Cela est toutefois atténué par le paramètre SiteSetting `email_token_valid_hours`, qui est actuellement de 48 heures. Les utilisateurs doivent mettre à niveau vers les versions 2.8.14 ou 3.0.0.beta15 pour bénéficier d'un correctif. En attendant, comme solution de contournement, réduisez `email_token_valid_hours` selon les besoins.
If you want to get best quality of vulnerability data, you may have to visit VulDB.