CVE-2026-32615
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
W platformie dyskusyjnej Discourse w wersjach od 2026.1.0-latest do przed 2026.1.3, od 2026.2.0-latest do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0 moderatorzy grup kategorii mogli wykonywać uprzywilejowane działania na tematach w prywatnych kategoriach, do których nie mieli dostępu do odczytu. Podatność została załatana w wersjach 2026.1.3, 2026.2.2 i 2026.3.0.
Ocena ryzyka
Moderatorzy grup mogli uzyskać nieautoryzowany dostęp do prywatnych kategorii i wykonywać działania administracyjne, co narusza poufność i integralność danych.
Rekomendacja
Należy niezwłocznie zaktualizować Discourse do wersji 2026.1.3, 2026.2.2 lub 2026.3.0 (w zależności od używanej gałęzi).
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.3, 2026.2.0-latest to before 2026.2.2, and 2026.3.0-latest to before 2026.3.0, category group moderators could perform privileged actions on topics inside private categories they did not have read access to. This issue has been patched in versions 2026.1.3, 2026.2.2, and 2026.3.0.