CVE-2026-33300
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Discourse stwierdzono obejście autoryzacji w kontrolerze Category Chatables, które pozwala moderatorom uzyskać informacje o ukrytych grupach i liczbie użytkowników.
Ocena ryzyka
Moderatorzy mogą uzyskać dostęp do danych, które powinny być widoczne tylko dla administratorów, co narusza poufność informacji o grupach.
Rekomendacja
Zaktualizuj Discourse do wersji 2026.1.3, 2026.2.2 lub 2026.3.0, w zależności od używanej linii wydań.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.3, 2026.2.0-latest to before 2026.2.2, and 2026.3.0-latest to before 2026.3.0, an authorization bypass in the Category Chatables Controller show action allowed moderators to get information on hidden groups names and user count. This issue has been patched in versions 2026.1.3, 2026.2.2, and 2026.3.0.