CVE-2026-55704
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0, użytkownicy, którzy mogli przeglądać aktywność grupy, ale nie mieli uprawnień do widzenia wspólnych szkiców, mogli otrzymywać wpisy wspólnych szkiców przez punkty końcowe postów grupy i wzmianek grupy. To mogło ujawnić tytuły tematów szkiców oraz fragmenty/treść postów, co skutkowało ujawnieniem nieopublikowanych materiałów.
Ocena ryzyka
Użytkownicy mogą uzyskać dostęp do nieopublikowanych szkiców, co może prowadzić do wycieku poufnych informacji przed ich oficjalnym opublikowaniem.
Rekomendacja
Zaktualizuj Discourse do wersji 2026.1.6, 2026.5.2, 2026.6.1 lub 2026.7.0, aby naprawić podatność.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. Prior o 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.0, users who were allowed to view a group’s activity, but were not permitted to see shared drafts, could still receive shared-draft entries through the group posts and group mentions endpoints. This could disclose shared-draft topic titles and post excerpt/content, resulting in an information disclosure of unpublished draft material. This issue is fixed in versions 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.0.