Podatności Discourse

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 ujawniał ukrytą lub niedostępną treść pierwszego posta jako fragment w publicznie serwowanych danych strukturalnych JSON-LD (QAPage), co pozwalało nieuwierzytelnionym odwiedzającym i robotom wyszukiwarek na jej odczyt.

Discourse ma podatność SQL injection w rozszerzeniu Data Explorer, umożliwiającą wykonanie dowolnego SQL przez parametry zapytań, nawet przez nieuprzywilejowanych użytkowników.

Discourse, platforma dyskusyjna open-source, przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 umożliwiała uwierzytelnionemu użytkownikowi podsłuchiwanie prywatnych rozmów bota AI przez strumień odpowiedzi bota AI.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w Onebox::DomainChecker.is_blocked? porównuje nazwy hostów z wpisami SiteSetting.blocked_onebox_domains w sposób uwzględniający wielkość liter, co pozwala atakującemu ominąć skonfigurowane ograniczenia domen Onebox przez zmianę wielkości liter w nazwie hosta docelowego przekierowania.

W Discourse przed wersjami 3.5.4, 2025.11.2, 2025.12.1 i 2026.1.0, przekierowania z linków permalink do zasobów z ograniczonym dostępem (prywatne tematy, kategorie, posty lub ukryte tagi) ujawniały slug zasobu w adresie URL, nawet gdy użytkownik nie miał do niego dostępu. To powodowało wyciek potencjalnie wrażliwych informacji, takich jak tytuły prywatnych tematów, poprzez nagłówek Location oraz pole wyszukiwania na stronie 404.

Discourse, platforma dyskusyjna o otwartym kodzie źródłowym, zawiera podatność w wersjach przed 3.5.4, 2025.11.2, 2025.12.1 i 2026.1.0. Problem dotyczy walidacji nazwy hosta w komponencie FinalDestination, co może umożliwić obejście zabezpieczeń SSRF w określonych warunkach.

Discourse to platforma dyskusyjna o otwartym kodzie źródłowym. W wersjach przed 3.5.4, 2025.11.2, 2025.12.1 i 2026.1.0 niektóre punkty końcowe subskrypcji nie sprawdzają poprawnie własności przed wprowadzeniem zmian. Luka została załatana w wymienionych wersjach.

Przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w Discourse, nieuwierzytelniony atakujący mógł wysłać pojedyncze żądanie z spreparowanym ciasteczkiem color_scheme_id (lub dark_scheme_id), aby wstrzyknąć dowolny HTML na stronę Discourse. Ponieważ wartość ciasteczka była renderowana w tagu schematu kolorów bez escapowania, atakujący mógł wydostać się z atrybutu i wstrzyknąć tag, który omijał politykę bezpieczeństwa treści opartą na nonce, co prowadziło do wykonania dowolnego JavaScriptu w przeglądarkach odwiedzających.

W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.1, na stronach z włączoną moderacją grup kategorii, kolejka przeglądu mogła zawierać fragment (i permalink) prywatnej wiadomości dołączonej do flagi, nawet gdy moderator kategorii nie był uczestnikiem tej wiadomości. Wiadomości flagowe notify_moderators są adresowane tylko do moderatorów i, dla flag podstawowych, do grup moderacji kategorii w momencie zgłoszenia flagi, więc moderator grupy kategorii mógł odczytać treść dyskusji flagowej, do której nie był upoważniony. Dotyczy to oficjalnych wtyczek tworzących takie wiadomości oraz flag podstawowych zgłoszonych przed przyznaniem grupie moderatora uprawnień do moderacji kategorii. Naruszona jest tylko poufność ograniczonego fragmentu tych prywatnych wiadomości związanych z flagami; żadna treść nie może być modyfikowana ani usuwana.

W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0, użytkownicy, którzy mogli przeglądać aktywność grupy, ale nie mieli uprawnień do widzenia wspólnych szkiców, mogli otrzymywać wpisy wspólnych szkiców przez punkty końcowe postów grupy i wzmianek grupy. To mogło ujawnić tytuły tematów szkiców oraz fragmenty/treść postów, co skutkowało ujawnieniem nieopublikowanych materiałów.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 zawiera podatność w punkcie końcowym discourse_templates, która ujawnia ukryte nazwy tagów. Serializator DiscourseTemplates::TemplatesSerializer nie filtruje tagów przez Guardian, przez co nie respektuje uprawnień grup tagów, pozwalając użytkownikom zobaczyć tagi, których nie powinni widzieć.

Discourse ma podatność na przechowywany XSS w edytorze tekstu sformatowanego, gdzie nazwa użytkownika w transkrypcji czatu jest renderowana jako HTML.

Podatność w Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0. Wtyczka discourse-local-dates renderowała sformatowane dane lokalnych dat jako HTML na stronach ze zmodyfikowaną lub wyłączoną domyślną polityką bezpieczeństwa treści.

Discourse, platforma dyskusyjna open-source, przed wersją 2026.1.7 pozwalała uwierzytelnionemu użytkownikowi na przesyłanie specjalnie sformowanych URL-i, które omijały listę dozwolonych Onebox i osadzały złośliwe treści na stronie. Problem naprawiono w wersjach 2026.1.7, 2026.6.2, 2026.7.1 i 2026.8.0-latest.1.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 pozwalał użytkownikowi z niskimi uprawnieniami na umieszczenie spreparowanych treści w kolejce moderacji, które wykonywały przechowywany XSS, gdy moderator je przeglądał na stronie ze zmodyfikowaną lub wyłączoną domyślną polityką CSP. Problem naprawiono w wersjach 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0.

Discourse przed wersją 2026.1.6 renderował pola poprzedniej i nowej wartości w modelu dziennika akcji personelu bez escapowania, co mogło prowadzić do przechowywanego ataku XSS w interfejsie personelu.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w pliku plugins/chat/lib/chat/onebox_handler.rb rozwiązywał wątek czatu na podstawie parametru thread_id niezależnie od channel_id, zanim sprawdził, czy użytkownik może podglądać wybrany kanał. Uwierzytelniony użytkownik może połączyć publiczny identyfikator kanału z prywatnym identyfikatorem wątku w żądaniu /onebox.json i uzyskać treść prywatnych wiadomości wątku.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w SiteSerializer.anonymous_default_navigation_menu_tags serializował tagi z SiteSetting.default_navigation_menu_tags bez zastosowania DiscourseTagging.filter_visible dla anonimowego widza. Nieuwierzytelniony użytkownik może pobrać nazwy i opisy ograniczonych tagów przez /site.json, gdy tagi są ograniczone przez niedostępne kategorie, grupy tagów kategorii lub uprawnienia grup tagów.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w funkcjach TopicLink.extract_from, TopicLink.ensure_entry_for i TopicLink.duplicate_lookup nie egzekwował spójnie kontroli Guardian.can_see? podczas przetwarzania linków wewnętrznych. Uwierzytelniony użytkownik może przesłać linki do ograniczonych tematów, prywatnych wiadomości lub ukrytych postów i otrzymać znormalizowane slugi lub tytuły w odpowiedzi duplicate_lookup w composer_messages, mimo że cele nie są widoczne dla tego użytkownika.

Discourse przed wersjami 2026.1.7, 2026.6.2, 2026.7.1 i 2026.8.0-latest.1 ma podatność na wstrzykiwanie HTML w PrettyText.format_for_email, ponieważ wartości atrybutów cooked są ponownie parsowane jako znaczniki. Specjalnie spreparowane atrybuty iframe Vimeo, URL-e bezpiecznych uploadów, wymiary lub wartości data-slug hashtagów mogą spowodować, że zdekodowany tekst atrybutu zostanie zinterpretowany jako HTML. Podatna konwersja nie waliduje również ściśle hosta i ścieżki iframe Vimeo, co pozwala na konwersję iframe spoza dozwolonej listy Vimeo.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, rewizje postów ukryte przed zwykłymi użytkownikami mogły być ujawniane poprzez widoczne różnice w sąsiednich rewizjach serializowanych przez PostRevisionSerializer.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 link wyróżniony w temacie nie był wystarczająco normalizowany i ucieczkowany przed renderowaniem na liście tematów. Umożliwiało to użytkownikowi ustawiającemu taki link wstrzyknięcie kodu JavaScript, gdy domyślna ochrona Content Security Policy została zmodyfikowana lub wyłączona.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 złośliwa nazwa drugiego czynnika uwierzytelniania na koncie atakującego nie była odpowiednio kodowana w oknie potwierdzenia usunięcia, co umożliwiało trwałe cross-site scripting (XSS) podczas gdy administrator podszywał się pod to konto.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 stwierdzono niedostateczne oczyszczanie plików SVG podczas przesyłania i obsługi awatarów użytkowników. Może to prowadzić do ataku typu cross-site scripting (XSS) po odwiedzeniu przez użytkownika określonych adresów URL, które nie są standardową częścią przeglądania społeczności.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, webhook AWS SES do obsługi odrzuceń (bounce) weryfikował podpisy wiadomości SNS, ale nie sprawdzał wartości TopicArn. Umożliwiało to dowolnemu posiadaczowi konta AWS wysłanie sfałszowanego powiadomienia o odrzuceniu, co powodowało unieważnienie adresu e-mail wybranego użytkownika.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, nazwy ograniczonych tagów i grup tagów przypisane do publicznie czytelnych kategorii jako dozwolone tagi, dozwolone grupy tagów lub wymagane grupy tagów mogły wyciekać do anonimowych i nieautoryzowanych użytkowników przez endpointy kategorii i grup.

W platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 zwykli użytkownicy mogli przekierowywać bezpośrednie wieloczęściowe przesyłanie plików do S3 przez ExternalUploadManager do magazynu kopii zapasowych administratora.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, funkcja pull_hotlinked_images mogła ujawnić bezpieczne przesłane pliki, jeśli atakujący znał ich adres URL i włączone było ustawienie secure_uploads.

Podatność w platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 umożliwiała ujawnienie nazw zaproszonych grup, przykładowych uczestników oraz statystyk obecności użytkownikom, którzy mieli dostęp do tematu, ale nie byli uprawnieni do przeglądania prywatnej listy zaproszonych na wydarzenie.

W platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 proces rejestracji umożliwiał nowym użytkownikom ustawienie primary_group_id i uzyskanie uprawnień grupy whisper bez prawidłowego członkostwa w grupach, gdy skonfigurowano whispers_allowed_groups.

W platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, w pewnych niestandardowych konfiguracjach, przetwarzanie przesłanych plików PDF może zostać wykorzystane do zdalnego wykonania kodu (RCE) na serwerze. Podatność została załatana w wymienionych wersjach.

Discourse to otwartoźródłowa platforma dyskusyjna, w której występuje podatność w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1. Funkcja DetailedTagSerializer#tag_group_names zwracała wszystkie grupy tagów, do których należał tag, bez uwzględnienia widoczności użytkownika, co pozwalało anonimowym i nieuprzywilejowanym użytkownikom na dostęp do nazw grup tagów ograniczonych do określonych grup użytkowników.

Discourse to otwartoźródłowa platforma dyskusyjna, w której wystąpiła podatność w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1. Wywołanie MessageBus.publish dla /web_hook_events/<id> w Jobs::RedeliverWebHookEvents nie przekazywało group_ids, co umożliwiało dostęp do kanału każdemu uwierzytelnionemu użytkownikowi (lub anonimowemu, gdy logowanie było wyłączone).

W Discourse, platformie do dyskusji, występuje podatność na przejście ścieżki w obsłudze kopii zapasowych, która pozwala uwierzytelnionemu administratorowi na jednym z serwisów w wieloserwisowej instalacji na dostęp do plików kopii zapasowych innego serwisu. Problem dotyczy wersji od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1.

Discourse to otwartoźródłowa platforma dyskusyjna, w której występuje luka w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1. Wydarzenia czatu dla publicznych kanałów kategorii są publikowane do MessageBus bez odpowiednich uprawnień, co pozwala na odbieranie wiadomości czatu przez subskrybentów bez włączonego czatu w czasie rzeczywistym.

W platformie dyskusyjnej Discourse występuje luka, która pozwala uwierzytelnionym użytkownikom na dostęp do ukrytych treści rodzica postu poprzez użycie funkcji AI 'explain' na odpowiedzi do tego postu. Problem ten dotyczy wersji od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1.

Discourse to otwartoźródłowa platforma dyskusyjna, w której właściciele grup, nie będący administratorami ani moderatorami, mogą przeglądać dane uwierzytelniające SMTP w postaci niezaszyfrowanej. Dotyczy to wersji od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1.

W platformie dyskusyjnej Discourse występuje luka, która pozwala uwierzytelnionym użytkownikom spoza skonfigurowanych grup na publikowanie w kanałach szeptów przeznaczonych tylko dla personelu. Problem dotyczy wersji od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1.

Discourse to otwarta platforma dyskusyjna, w której występuje błąd w serializacji atrybutu :name w GroupPostSerializer. Błąd polega na tym, że niewłaściwie nazwany predykat include_user_long_name? nie był wywoływany, co skutkowało zawsze serializowaniem object.user.name, niezależnie od ustawienia SiteSetting.enable_names.

Discourse to otwartoźródłowa platforma dyskusyjna, w której występuje podatność w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1. Serializer ReviewableQueuedPostSerializer bezwarunkowo dołączał payload["raw_email"] dla postów przychodzących przez e-mail, co umożliwiało członkom grup moderacyjnych dostęp do pełnego źródła e-maila bez odpowiednich uprawnień.

Discourse to otwartoźródłowa platforma dyskusyjna, która w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1 ujawnia logi audytowe tłumaczeń whisper przez punkty końcowe debugowania botów. Problem został naprawiony w wersjach 2026.1.4, 2026.3.1, 2026.4.1 oraz 2026.5.0-latest.1.

Discourse przed wersjami 2026.1.4, 2026.3.1, 2026.4.1 i 2026.5.0-latest.1 zawiera podatność we wtyczce discourse-subscriptions, która pozwala użytkownikom uzyskać dostęp do grup objętych subskrypcją bez dokonania płatności.

Discourse w wersjach przed 2026.1.4, 2026.3.1, 2026.4.1 i 2026.5.0-latest.1 umożliwia uwierzytelnionemu użytkownikowi odczyt nazwy i struktury szablonów formularzy przeznaczonych wyłącznie dla kategorii, do których nie ma dostępu.

Discourse przed wersjami 2026.1.4, 2026.3.1, 2026.4.1 i 2026.5.0-latest.1 przechowuje nieaktualne podsumowania AI, które mogą ujawniać usunięte treści anonimowym i nieuprzywilejowanym użytkownikom.

Discourse, otwartoźródłowa platforma dyskusyjna, zawiera lukę, która ujawnia niestandardowe pola użytkownika i nazwę użytkownika na publicznych stronach zaproszeń bez weryfikacji e-mail. Luka występuje w wersjach od 2026.1.0-latest do przed 2026.1.3, od 2026.2.0-latest do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0.

Discourse w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0 do przed 2026.3.0 zawiera podatność na obejście autoryzacji. Nieuwierzytelnieni lub nieautoryzowani użytkownicy mogą wyświetlić tagi przeznaczone tylko dla personelu oraz powiązane dane.

Discourse, platforma dyskusyjna, zawiera podatność w endpointcie analityki sentymentu. Uwierzytelniony użytkownik z rolą moderatora może odczytać treść postów, tytuły tematów i nazwy użytkowników z kategorii, do których nie ma uprawnień. Problem został naprawiony w wersjach 2026.1.3, 2026.2.2 i 2026.3.0.

W Discourse stwierdzono obejście autoryzacji w kontrolerze Category Chatables, które pozwala moderatorom uzyskać informacje o ukrytych grupach i liczbie użytkowników.

Discourse ma lukę w endpointzie testowym ustawień e-mail grupy, który umożliwia inicjowanie połączeń wychodzących do dowolnych hostów i portów. Endpoint był dostępny dla właścicieli grup niebędących personelem.

Discourse w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0 umożliwia użytkownikowi zakup subskrypcji niższego poziomu, ale uzyskanie korzyści przypisanych do wyższego poziomu subskrypcji.