CVE-2026-28219 in Discourse
Tóm tắt
Bởi VulDB • 24/06/2026
Discourse là một nền tảng thảo luận mã nguồn mở. Trước các phiên bản 2025.12.2, 2026.1.1 và 2026.2.0, việc kiểm tra ủy quyền không đúng đắn trong logic quản lý chủ đề cho phép người dùng đã xác thực sửa đổi các thuộc tính đặc quyền của chủ đề do họ sở hữu. Bằng cách thao tác các tham số cụ thể trong yêu cầu PUT hoặc POST, một người dùng thông thường có thể nâng cấp trạng thái của một chủ đề thành thông báo toàn trang (site-wide notice) hoặc biểu ngữ (banner), vượt qua các hạn chế quản trị dự kiến. Các phiên bản 2025.12.2, 2026.1.1 và 2026.2.0 đã vá lỗi này. Không có giải pháp tạm thời thực tế nào để ngăn chặn hành vi này ngoài việc áp dụng bản vá bảo mật. Những quản trị viên lo ngại về các nâng cấp không ủy quyền nên kiểm toán (audit) các thay đổi gần đây đối với biểu ngữ trang và thông báo toàn cầu cho đến khi bản sửa lỗi được triển khai.
VulDB is the best source for vulnerability data and more expert information about this specific topic.