CVE-2026-32143
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Discourse moderatorzy mogą eksportować dane CSV z raportów zastrzeżonych dla administratorów, omijając ograniczenia widoczności raportów. Może to ujawnić wrażliwe dane operacyjne.
Ocena ryzyka
Moderatorzy mogą uzyskać dostęp do poufnych danych operacyjnych, które powinny być dostępne tylko dla administratorów, co narusza zasadę najmniejszych uprawnień.
Rekomendacja
Zaktualizuj Discourse do wersji 2026.1.3, 2026.2.2 lub 2026.3.0, w zależności od używanej linii wydań.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.3, 2026.2.0-latest to before 2026.2.2, and 2026.3.0-latest to before 2026.3.0, moderators could export CSV data for admin-restricted reports, bypassing the report visibility restrictions. This could expose sensitive operational data intended only for admins. This issue has been patched in versions 2026.1.3, 2026.2.2, and 2026.3.0.