CVE-2026-26077 in Discourse
Riassunto
di VulDB • 25/06/2026
Discourse è una piattaforma di discussione open source. Prima delle versioni 2025.12.2, 2026.1.1 e 2026.2.0, diversi endpoint webhook (SendGrid, Mailjet, Mandrill, Postmark, SparkPost) nel `WebhooksController` accettavano richieste senza un token di autenticazione valido quando nessun token era configurato. Ciò consentiva ad attaccanti non autenticati di falsificare i payload dei webhook e gonfiare artificialmente gli score di bounce degli utenti, potenzialmente causando la disabilitazione delle email degli utenti legittimi. L'endpoint Mailpace non aveva alcuna convalida del token. A partire dalle versioni 2025.12.2, 2026.1.1 e 2026.2.0, tutti gli endpoint webhook rifiutano le richieste con una risposta 406 quando nessun token di autenticazione è configurato. Come soluzione temporanea (workaround), assicurarsi che i token di autenticazione dei webhook siano configurati per tutte le integrazioni con provider email nelle impostazioni del sito (ad esempio, `sendgrid_verification_key`, `mailjet_webhook_token`, `postmark_webhook_token`, `sparkpost_webhook_token`). Non esiste una soluzione temporanea attuale per Mailpace prima dell'applicazione di questa correzione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.