CVE-2026-26078 in Discourse
Sumário
de VulDB • 22/06/2026
O Discourse é uma plataforma de discussão de código aberto. Antes das versões 2025.12.2, 2026.1.1 e 2026.2.0, quando a configuração do site `patreon_webhook_secret` estiver em branco, um atacante pode forjar assinaturas válidas para webhooks calculando um HMAC-MD5 utilizando uma string vazia como chave. Como o corpo da solicitação é conhecido pelo remetente, o atacante pode gerar uma assinatura correspondente e enviar payloads de webhook arbitrários. Isso permite a criação não autorizada, modificação ou exclusão de dados de compromissos do Patreon (Pledge) e aciona a sincronização entre patronos e grupos. Esta vulnerabilidade foi corrigida nas versões 2025.12.2, 2026.1.1 e 2026.2.0. A correção rejeita solicitações de webhook quando o segredo do webhook não está configurado, impedindo a falsificação de assinaturas com uma chave vazia. Como solução alternativa, configure a configuração do site `patreon_webhook_secret` com um valor secreto forte e não vazio. Quando o segredo for não vazio, um atacante não poderá forjar assinaturas válidas sem conhecer o segredo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.