CVE-2026-27481
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Discourse w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0 do przed 2026.3.0 zawiera podatność na obejście autoryzacji. Nieuwierzytelnieni lub nieautoryzowani użytkownicy mogą wyświetlić tagi przeznaczone tylko dla personelu oraz powiązane dane.
Ocena ryzyka
Ujawnienie poufnych tagów i danych może prowadzić do wycieku informacji o wewnętrznych kategoriach treści, co narusza politykę bezpieczeństwa.
Rekomendacja
Zaktualizuj Discourse do wersji 2026.1.3, 2026.2.2 lub 2026.3.0, które zawierają poprawkę autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.3, 2026.2.0-latest to before 2026.2.2, and 2026.3.0-latest to before 2026.3.0, an authorization bypass vulnerability allows unauthenticated or unauthorized users to view hidden (staff-only) tags and its associated data. All Discourse instances with tagging enabled and staff-only tag groups configured are impacted. This issue has been patched in versions 2026.1.3, 2026.2.2, and 2026.3.0.