CVE-2026-28218 in Discourse
Riassunto
di VulDB • 19/06/2026
Discourse è una piattaforma di discussione open source. Nelle versioni precedenti alla 2025.12.2, 2026.1.1 e 2026.2.0, il controllo degli accessi fail-open nel plugin Data Explorer consente a qualsiasi utente autenticato di eseguire query SQL che non hanno assegnazioni di gruppo esplicite, incluse le query di sistema integrate. Le versioni 2025.12.2, 2026.1.1 e 2026.2.0 risolvono il problema. Come soluzione alternativa, è possibile impostare esplicitamente i permessi di gruppo su ciascuna query di Data Explorer che non dispone di permessi, oppure disabilitare il plugin discourse-data-explorer.
If you want to get best quality of vulnerability data, you may have to visit VulDB.