Podatności Discourse

Discourse z wtyczką discourse-subscriptions w wersjach od 2026.1.0 do 2026.1.3, od 2026.2.0 do 2026.2.2 oraz od 2026.3.0 do 2026.3.0 ujawnia klucze API Stripe między witrynami w klastrze wielostanowiskowym. Może to prowadzić do wycieku informacji związanych ze Stripe między witrynami w tym samym klastrze.

Discourse pozwala uwierzytelnionemu użytkownikowi na uzyskanie tytułów tematów z kategorii współdzielonych szkiców poprzez wysłanie żądania inline onebox z odpowiednim category_id.

Discourse umożliwia użytkownikom niebędącym personelem dostęp do informacji o potwierdzeniach przeczytania postów przeznaczonych tylko dla personelu. Ujawniane są metadane (kto i kiedy przeczytał), ale nie treść posta.

Discourse w wersjach przed 2026.1.3, 2026.2.2 i 2026.3.0 pozwala użytkownikom, którzy utracili dostęp do tematu (np. usunięci z grupy prywatnej), na interakcję z ankietami w tym temacie, w tym głosowanie i zmianę statusu ankiety.

Discourse umożliwia wnioskowanie o członkostwie w kanałach czatu poprzez wyszukiwanie użytkowników bez odpowiedniej autoryzacji.

W platformie dyskusyjnej Discourse w wersjach od 2026.1.0-latest do przed 2026.1.3, od 2026.2.0-latest do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0 moderatorzy grup kategorii mogli wykonywać uprzywilejowane działania na tematach w prywatnych kategoriach, do których nie mieli dostępu do odczytu. Podatność została załatana w wersjach 2026.1.3, 2026.2.2 i 2026.3.0.

W Discourse, gdy włączona jest opcja ukryta 'prioritize_full_name_in_ux', nazwy wyświetlane użytkowników i grup są renderowane bez kodowania HTML w kilku ścieżkach UI związanych z przypisaniami. Umożliwia to użytkownikom z uprawnieniami assign wstrzyknięcie dowolnego HTML/JavaScript, który wykonuje się w przeglądarce każdego użytkownika przeglądającego dotknięty temat.

W Discourse aktualizacja opisu kategorii przez API nie oczyszczała łańcucha opisu, co może prowadzić do ataków XSS. Podatność występuje w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0 do przed 2026.3.0.

W Discourse osoba atakująca z możliwością tworzenia współdzielonych konwersacji AI może wstrzyknąć dowolny HTML i JavaScript poprzez spreparowane tytuły konwersacji. Ładunek wykonuje się w przeglądarce każdego użytkownika przeglądającego podgląd onebox, co może prowadzić do przejęcia sesji lub nieautoryzowanych działań w imieniu ofiary.

W Discourse moderatorzy mogą eksportować dane CSV z raportów zastrzeżonych dla administratorów, omijając ograniczenia widoczności raportów. Może to ujawnić wrażliwe dane operacyjne.

Discourse ma lukę w akcji enter w StaticController, która odczytuje ciasteczko sso_destination_url i przekierowuje do niego z allow_other_host: true bez walidacji docelowego URL. Ciasteczka są kontrolowane przez klienta i mogą być ustawione przez atakującego.

Discourse to otwartoźródłowa platforma dyskusyjna. Przed wersją 3.0.6 gałęzi `stable` oraz wersją 3.1.0.beta7 gałęzi `beta` i `tests-passed`, nieautoryzowani użytkownicy mogli uzyskać dostęp do informacji o tagach tematów o ograniczonej widoczności.

Discourse to otwarta platforma dyskusyjna, która przed wersją 3.0.6 w gałęzi `stable` oraz 3.1.0.beta7 w gałęziach `beta` i `tests-passed` nie narzucała górnego limitu na parametry limitu w wielu akcjach kontrolera. Brak tego ograniczenia może pozwolić użytkownikom na generowanie zapytań do bazy danych, co może prowadzić do wyczerpania zasobów serwera.

Discourse to otwarta platforma dyskusyjna, w której przed wersją 3.0.6 gałęzi `stable` oraz 3.1.0.beta7 gałęzi `beta` i `tests-passed`, złośliwy użytkownik może opóźnić przetwarzanie kolejki defer na stronach hostowanych w tej samej instalacji multisite.

Discourse to otwarta platforma dyskusyjna, w której przed wersją 3.0.6 gałęzi `stable` oraz 3.1.0.beta7 gałęzi `beta` i `tests-passed`, złośliwy użytkownik może edytować post w wątku, co prowadzi do ataku DoS poprzez starannie skonstruowany powód edycji.

Discourse to otwarta platforma dyskusyjna, w której przed wersją 3.0.6 gałęzi `stable` oraz 3.1.0.beta7 gałęzi `beta` i `tests-passed` można było utworzyć więcej użytkowników niż dozwolone za pomocą linków zaproszeniowych. Problem został naprawiony w wersjach 3.0.6 i 3.1.0.beta7.

W platformie dyskusyjnej Discourse przed wersją 3.1.0.beta7 z gałęzi `beta` i `tests-passed` odkryto podatność na ponowne użycie nonce w CSP (Content Security Policy), co może umożliwić ataki XSS (cross-site scripting) dla anonimowych użytkowników. Wersja 3.1.0.beta7 zawiera poprawkę.

Discourse to otwarta platforma dyskusyjna, w której występuje podatność umożliwiająca wywołanie odmowy usługi podczas próby utworzenia lub zaktualizowania niestandardowej sekcji bocznej. Problem został naprawiony w commicie `52b003d915`.

Discourse to otwarta platforma dyskusyjna, która ma podatność umożliwiającą użytkownikom ominięcie walidacji tytułów tematów podczas ich edytowania. Problemy dotyczą długości tytułu, liczby emoji w tytule oraz pustych tytułów tematów.

Discourse, otwarta platforma dyskusyjna, ma podatność na ponowne użycie nonce w polityce bezpieczeństwa treści (CSP), co może umożliwić ataki XSS omijające ochronę CSP. Obecnie nie ma znanych wektorów XSS, ale w przypadku ich odkrycia, ta podatność pozwoliłaby na całkowite ominięcie CSP.

Discourse to otwarta platforma dyskusyjna, w której przed wersją 3.0.4 gałęzi `stable` oraz 3.1.0.beta5 gałęzi `beta` i `tests-passed`, atakujący mógł wykorzystać nowy punkt końcowy do odrzucania tematów, aby ujawnić liczbę ostatnio utworzonych tematów w kategoriach, do których nie miał dostępu.