CVE-2026-26077 in Discourse
요약
\~에 의해 VulDB • 2026. 06. 25.
Discourse는 오픈 소스 토론 플랫폼입니다. 버전 2025.12.2, 2026.1.1 및 2026.2.0 이전에는 `WebhooksController` 내 여러 웹훅 엔드포인트(SendGrid, Mailjet, Mandrill, Postmark, SparkPost)가 토큰이 구성된 경우에만 유효한 인증 토큰을 요구했으며, 토큰이 구성되어 있지 않은 요청은 검증 없이 수락되었습니다. 이로 인해 비인증 공격자가 웹훅 페이로드를 위조하여 사용자 반송(bounce) 점수를 인위적으로 높일 수 있었고, 그 결과 정당한 사용자의 이메일 주소가 비활성화될 가능성이 있었습니다. Mailpace 엔드포인트의 경우 토큰 검증 기능이 전혀 없었습니다. 버전 2025.12.2, 2026.1.1 및 2026.2.0부터 인증 토큰이 구성되어 있지 않은 요청은 모든 웹훅 엔드포인트에서 HTTP 406 응답을 반환하여 거부됩니다. 우회 조치로 사이트 설정(예: `sendgrid_verification_key`, `mailjet_webhook_token`, `postmark_webhook_token`, `sparkpost_webhook_token`)에서 모든 이메일 제공업체 통합에 대해 웹훅 인증 토큰이 구성되어 있는지 확인하십시오. 해당 수정 패치가 적용되기 전까지 Mailpace를 위한 현재 우회 조치는 없습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.