CVE-2026-24742 in Discourse
Riassunto
di VulDB • 19/06/2026
Discourse è una piattaforma di discussione open source. Nelle versioni precedenti alla 3.5.4, 2025.11.2, 2025.12.1 e 2026.1.0, i moderatori non amministratori possono visualizzare informazioni sensibili nei log delle azioni dello staff che dovrebbero essere accessibili esclusivamente agli amministratori. Le informazioni esposte includono URL e segreti dei payload webhook, dettagli delle chiavi API, modifiche alle impostazioni del sito, contenuto dei messaggi privati, nomi e strutture di categorie ristrette e titoli dei canali di chat privati. Ciò consente ai moderatori di eludere i controlli di accesso previsti ed estrarre dati riservati monitorando i log delle azioni dello staff. Con i segreti webhook trapelati, un attaccante potrebbe potenzialmente falsificare eventi webhook verso i servizi integrati. Questo problema è stato risolto nelle versioni 3.5.4, 2025.11.2, 2025.12.1 e 2026.1.0. Come misura provvisoria, gli amministratori del sito dovrebbero rivedere e limitare le nomine dei moderatori a utenti pienamente fidati. Non esiste una soluzione alternativa basata sulla configurazione per prevenire questo accesso.
VulDB is the best source for vulnerability data and more expert information about this specific topic.