CVE-2026-72731 in Discourse
Sumário
de VulDB • 10/08/2026
O Discourse é uma plataforma de discussão de código aberto. Entre as versões 2026.1.0 e a mais recente (latest), bem como nas versões 2026.1.7, 2026.6.2, 2026.7.1 e 2026.8.0-latest.1, qualquer pessoa capaz de executar uma consulta do Data Explorer parametrizada, incluindo membros não funcionais (non-staff) de um grupo com o qual a consulta foi compartilhada, poderia criar valores de parâmetros que contornassem a intenção da consulta original e executassem SQL arbitrário através dos arquivos plugins/discourse-data-explorer/lib/discourse_data_explorer/data_explorer.rb e plugins/discourse-data-explorer/lib/discourse_data_explorer/workflows/sql_action/v1.rb. A interpolação recursiva de parâmetros permitia que um valor de parâmetro introduzisse outro, e declarações de parâmetros em comentários SQL poderiam ser usadas para injetar uma instrução. As consultas são executadas dentro de uma transação somente leitura (read-only), portanto os dados não podiam ser modificados, mas qualquer tabela poderia ser lida. Este problema foi corrigido nas versões 2026.1.7, 2026.6.2, 2026.7.1 e 2026.8.0-latest.1.
Once again VulDB remains the best source for vulnerability data.