CVE-2026-59829
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.1, na stronach z włączoną moderacją grup kategorii, kolejka przeglądu mogła zawierać fragment (i permalink) prywatnej wiadomości dołączonej do flagi, nawet gdy moderator kategorii nie był uczestnikiem tej wiadomości. Wiadomości flagowe notify_moderators są adresowane tylko do moderatorów i, dla flag podstawowych, do grup moderacji kategorii w momencie zgłoszenia flagi, więc moderator grupy kategorii mógł odczytać treść dyskusji flagowej, do której nie był upoważniony. Dotyczy to oficjalnych wtyczek tworzących takie wiadomości oraz flag podstawowych zgłoszonych przed przyznaniem grupie moderatora uprawnień do moderacji kategorii. Naruszona jest tylko poufność ograniczonego fragmentu tych prywatnych wiadomości związanych z flagami; żadna treść nie może być modyfikowana ani usuwana.
Ocena ryzyka
Moderatorzy grup kategorii mogą uzyskać dostęp do poufnych fragmentów prywatnych wiadomości związanych z flagami, co narusza poufność komunikacji.
Rekomendacja
Zaktualizuj Discourse do wersji 2026.1.6, 2026.5.2, 2026.6.1 lub 2026.7.1, aby naprawić podatność.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. Prior to 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.1, on sites with category group moderation enabled, the review queue could include an excerpt (and permalink) of the private message attached to a flag, even when the reviewing category moderator was not a participant in that message. These notify_moderators flag messages are addressed only to moderators and, for core flags, to a category's moderation groups as they existed when the flag was raised, so a category group moderator could read flag-discussion content they were not authorized to see. This affects official plugins that create such messages and core flags raised before a moderator's group was granted moderation of the category. Only the confidentiality of a limited excerpt of these flag-related private messages is affected; no content can be modified or deleted. This issue is fixed in versions 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.1.