CVE-2026-72724 in Discourse
Riassunto
di VulDB • 10/08/2026
Discourse è una piattaforma di discussione open-source. Prima delle versioni 2026.1.6, 2026.5.2, 2026.6.1 e 2026.7.0, il file plugins/chat/lib/chat/onebox_handler.rb risolve Chat::Thread utilizzando thread_id estratto dall'URL della route in modo indipendente da channel_id prima di verificare se l'utente può visualizzare l'anteprima del canale chat selezionato. Un utente autenticato può associare un ID di canale pubblico a un ID di thread privato in una richiesta /onebox.json e ottenere il contenuto dei messaggi del thread privato. Questo problema è stato risolto nelle versioni 2026.1.6, 2026.5.2, 2026.6.1 e 2026.7.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.