CVE-2026-91133 in Discourse
要約
〜によって VulDB • 2026年09月24日
Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.8、2026.6.3、2026.7.2、および2026.8.0より前では、認証済みユーザーがエスケープされていないSQL LIKEメタ文字をupload-resolution patternsに指定することで、ワイルドカード入力がリテラルIDと一致するのではなく無関係なアップロードレコードを選択させることが可能でした。影響を受けるアップロードメタデータ、URLルックアップパス、およびcooked-video-placeholderパスにより、ユーザーがアクセス権限を持たないアップロードを解決（特定）することができました。これにより、アップロードレコードを変更せずに、元のファイル名やセキュアなアップロードパスなどの制限付きメタデータの漏洩が可能となりました。この問題はバージョン2026.1.8、2026.6.3、2026.7.2、および2026.8.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.