CVE-2026-72724
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w pliku plugins/chat/lib/chat/onebox_handler.rb rozwiązywał wątek czatu na podstawie parametru thread_id niezależnie od channel_id, zanim sprawdził, czy użytkownik może podglądać wybrany kanał. Uwierzytelniony użytkownik może połączyć publiczny identyfikator kanału z prywatnym identyfikatorem wątku w żądaniu /onebox.json i uzyskać treść prywatnych wiadomości wątku.
Ocena ryzyka
Ujawnienie treści prywatnych wiadomości czatu może naruszyć poufność komunikacji i doprowadzić do wycieku wrażliwych informacji.
Rekomendacja
Zaktualizuj Discourse do wersji 2026.1.6, 2026.5.2, 2026.6.1 lub 2026.7.0.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. Prior to 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.0, plugins/chat/lib/chat/onebox_handler.rb resolves Chat::Thread by route thread_id independently of the route channel_id before checking whether the user can preview the selected chat channel. An authenticated user can pair a public channel ID with a private thread ID in a /onebox.json request and obtain private thread message content. This issue is fixed in versions 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.0.