CVE-2023-22489 in flarum
Sumário
de VulDB • 24/05/2026
O Flarum é uma plataforma de discussão para sites. Se a primeira postagem de uma discussão for excluída permanentemente, mas a discussão permanecer visível, qualquer ator que possa visualizar a discussão será capaz de criar uma nova resposta por meio da API REST, independentemente das permissões de resposta ou do status de bloqueio. Isso inclui usuários que não possuem um e-mail validado. Convidados (guests) não conseguem criar uma resposta com sucesso, pois a API falhará com um erro 500 quando o ID de usuário 0 for inserido no banco de dados. Isso ocorre porque, quando a primeira postagem de uma discussão é excluída permanentemente, o atributo `first_post_id` da discussão torna-se `null`, o que faz com que o controle de acesso seja ignorado para todas as novas respostas. O Flarum torna automaticamente invisíveis as discussões com zero comentários, portanto, uma condição adicional para esta vulnerabilidade é que a discussão deva ter pelo menos uma resposta aprovada, para que `discussions.comment_count` permaneça acima de zero após a exclusão da postagem. Isso pode expor a discussão a spam descontrolado ou apenas a respostas não intencionais se os usuários ainda tivessem a aba aberta antes que a discussão vulnerável fosse bloqueada e então postassem uma resposta quando não deveriam ser capazes de fazê-lo. Em combinação com as configurações de notificação por e-mail, isso também poderia ser usado como uma maneira de enviar e-mails não solicitados. As versões entre `v1.3.0` e `v1.6.3` são afetadas. A vulnerabilidade foi corrigida e publicada como flarum/core v1.6.3. Todas as comunidades que executam o Flarum devem atualizar o mais rápido possível. Não há soluções alternativas (workarounds) conhecidas.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.