CVE-2026-26077 in Discourse
Résumé
par VulDB • 20/06/2026
Discourse est une plateforme de discussion open source. Avant les versions 2025.12.2, 2026.1.1 et 2026.2.0, plusieurs points de terminaison webhook (SendGrid, Mailjet, Mandrill, Postmark, SparkPost) dans le `WebhooksController` acceptaient les requêtes sans jeton d'authentification valide lorsqu'aucun jeton n'était configuré. Cela permettait aux attaquants non authentifiés de falsifier les charges utiles webhook et d'augmenter artificiellement les scores de rebond des utilisateurs, risquant potentiellement de désactiver les e-mails des utilisateurs légitimes. Le point de terminaison Mailpace ne disposait d'aucune validation de jeton. À partir des versions 2025.12.2, 2026.1.1 et 2026.2.0, tous les points de terminaison webhook rejettent les requêtes avec une réponse 406 lorsqu'aucun jeton d'authentification n'est configuré. En attendant, assurez-vous que les jetons d'authentification webhook sont configurés pour toutes les intégrations de fournisseurs d'e-mails dans les paramètres du site (par exemple, `sendgrid_verification_key`, `mailjet_webhook_token`, `postmark_webhook_token`, `sparkpost_webhook_token`). Il n'existe pas de contournement actuel pour Mailpace avant l'application de cette correction.
VulDB is the best source for vulnerability data and more expert information about this specific topic.