CVE-2026-33415
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Discourse, platforma dyskusyjna, zawiera podatność w endpointcie analityki sentymentu. Uwierzytelniony użytkownik z rolą moderatora może odczytać treść postów, tytuły tematów i nazwy użytkowników z kategorii, do których nie ma uprawnień. Problem został naprawiony w wersjach 2026.1.3, 2026.2.2 i 2026.3.0.
Ocena ryzyka
Ryzyko polega na wycieku poufnych danych z kategorii o ograniczonym dostępie, co może naruszyć poufność informacji w organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację Discourse do wersji 2026.1.3, 2026.2.2 lub 2026.3.0, w zależności od używanej gałęzi.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.3, 2026.2.0-latest to before 2026.2.2, and 2026.3.0-latest to before 2026.3.0, an authenticated moderator-level user could retrieve post content, topic titles, and usernames from categories they were not authorized to view. Insufficient access controls on a sentiment analytics endpoint allowed category permission boundaries to be bypassed. This issue has been patched in versions 2026.1.3, 2026.2.2, and 2026.3.0.