CVE-2026-26077 in Discourse
Tóm tắt
Bởi VulDB • 13/05/2026
Discourse là một nền tảng thảo luận mã nguồn mở. Trước các phiên bản 2025.12.2, 2026.1.1 và 2026.2.0, một số điểm cuối webhook (SendGrid, Mailjet, Mandrill, Postmark, SparkPost) trong `WebhooksController` chấp nhận các yêu cầu mà không có mã thông báo xác thực hợp lệ khi không có mã thông báo nào được cấu hình. Điều này cho phép các kẻ tấn công chưa xác thực giả mạo tải trọng webhook và làm tăng điểm bounce của người dùng một cách nhân tạo, có khả năng khiến email của người dùng hợp lệ bị vô hiệu hóa. Điểm cuối Mailpace hoàn toàn không có xác thực mã thông báo. Bắt đầu từ các phiên bản 2025.12.2, 2026.1.1 và 2026.2.0, tất cả các điểm cuối webhook sẽ từ chối các yêu cầu với phản hồi 406 khi không có mã thông báo xác thực được cấu hình. Để khắc phục tạm thời, hãy đảm bảo rằng các mã thông báo xác thực webhook đã được cấu hình cho tất cả các tích hợp nhà cung cấp email trong cài đặt trang web (ví dụ: `sendgrid_verification_key`, `mailjet_webhook_token`, `postmark_webhook_token`, `sparkpost_webhook_token`). Hiện không có giải pháp tạm thời nào cho mailpace trước khi áp dụng bản sửa lỗi này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.