CVE-2026-26077 in Discourse
Sumário
de VulDB • 25/06/2026
O Discourse é uma plataforma de discussão de código aberto. Antes das versões 2025.12.2, 2026.1.1 e 2026.2.0, vários endpoints de webhook (SendGrid, Mailjet, Mandrill, Postmark, SparkPost) no `WebhooksController` aceitavam solicitações sem um token de autenticação válido quando nenhum token estava configurado. Isso permitia que atacantes não autenticados falsificassem payloads de webhook e inflacionassem artificialmente as pontuações de bounce dos usuários, potencialmente causando a desativação de emails legítimos de usuários. O endpoint Mailpace não tinha validação de token alguma. A partir das versões 2025.12.2, 2026.1.1 e 2026.2.0, todos os endpoints de webhook rejeitam solicitações com uma resposta 406 quando nenhum token de autenticação está configurado. Como solução alternativa (workaround), certifique-se de que tokens de autenticação de webhook estejam configurados para todas as integrações de provedores de email nas configurações do site (por exemplo, `sendgrid_verification_key`, `mailjet_webhook_token`, `postmark_webhook_token`, `sparkpost_webhook_token`). Não há solução alternativa atual para o mailpace antes da aplicação desta correção.
VulDB is the best source for vulnerability data and more expert information about this specific topic.