Podatności Discourse

Discourse przed wskazanymi wersjami pozwalał na przechowywany atak typu cross-origin iframe, który omijał politykę allowed_iframes dzięki zakodowanemu userinfo w atrybucie src. Uwierzytelniony użytkownik z uprawnieniami do pisania mógł umieścić iframe w poście, co prowadziło do renderowania treści z kontrolowanej przez atakującego domeny.

Discourse przed wskazanymi wersjami, gdy używano wzorców wildcard w ustawieniu allowed_iframes, mógł akceptować spreparowany adres URL iframe, którego zezwolony sufiks pojawiał się po separatorze authority. Kontrola pochodzenia omijała listę, a przeglądarka wybierała inny atakowany origin, co pozwalało na renderowanie kontrolowanego iframe.

W Discourse przed wersjami 3.5.4, 2025.11.2, 2025.12.1 i 2026.1.0, przekierowania z linków permalink do zasobów z ograniczonym dostępem (prywatne tematy, kategorie, posty lub ukryte tagi) ujawniały slug zasobu w adresie URL, nawet gdy użytkownik nie miał do niego dostępu. To powodowało wyciek potencjalnie wrażliwych informacji, takich jak tytuły prywatnych tematów, poprzez nagłówek Location oraz pole wyszukiwania na stronie 404.

Discourse, platforma dyskusyjna o otwartym kodzie źródłowym, zawiera podatność w wersjach przed 3.5.4, 2025.11.2, 2025.12.1 i 2026.1.0. Problem dotyczy walidacji nazwy hosta w komponencie FinalDestination, co może umożliwić obejście zabezpieczeń SSRF w określonych warunkach.

Discourse to platforma dyskusyjna o otwartym kodzie źródłowym. W wersjach przed 3.5.4, 2025.11.2, 2025.12.1 i 2026.1.0 niektóre punkty końcowe subskrypcji nie sprawdzają poprawnie własności przed wprowadzeniem zmian. Luka została załatana w wymienionych wersjach.

Przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w Discourse, nieuwierzytelniony atakujący mógł wysłać pojedyncze żądanie z spreparowanym ciasteczkiem color_scheme_id (lub dark_scheme_id), aby wstrzyknąć dowolny HTML na stronę Discourse. Ponieważ wartość ciasteczka była renderowana w tagu schematu kolorów bez escapowania, atakujący mógł wydostać się z atrybutu i wstrzyknąć tag, który omijał politykę bezpieczeństwa treści opartą na nonce, co prowadziło do wykonania dowolnego JavaScriptu w przeglądarkach odwiedzających.

Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0 renderował kontrolowane przez atakującego nazwy plików przesyłanych w fragmentach wiadomości czatu jako niesanityzowany HTML. Użytkownik mogący przesłać plik i wysłać treść czatu mógł umieścić znaczniki w nazwie pliku, które były interpretowane przez listy kanałów czatu, e-maile z podsumowaniem czatu, przypięte paski wiadomości, podglądy odpowiedzi i inne renderery fragmentów. Podatność umożliwiała wstrzyknięcie zaufanego HTML, ale nie wykazano wykonania JavaScript przy domyślnych ustawieniach CSP.

Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0 mógł ponownie parsować kontrolowane przez dostawcę tytuły filmów w leniwych osadzeniach wideo jako HTML podczas generowania e-maili powiadomień lub podsumowań czatu. Użytkownik z podstawowymi uprawnieniami do publikowania mógł utworzyć post dla włączonego dostawcy YouTube, Vimeo lub TikTok, którego tytuł zawierał znaczniki, a ścieżka renderowania e-maili i podsumowań czatu umieszczała te znaczniki w wyniku zamiast traktować je wyłącznie jako tekst. Odbiorcy używający klientów poczty obsługujących HTML mogli zobaczyć wstrzykniętą treść, potencjalnie w tym procedury obsługi zdarzeń, ale podatność nie ujawniała bezpośrednio sesji przeglądarki Discourse ani nie wpływała na samą stronę forum.

Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0 interpolował wolną wartość action_code_who do atrybutów href linków wzmianek bez kodowania URL. Nazwa wyświetlana zawierająca cudzysłów mogła zakończyć zamierzony atrybut URL i wstrzyknąć kontrolowane przez atakującego elementy do zaufanego renderowanego znacznika. Chociaż widoczny tekst wzmianki był escapowany, niezakodowany komponent ścieżki umożliwiał trwałe wstrzyknięcie HTML, gdy inny użytkownik wyświetlił dotkniętą akcję tematu lub dziennik aktywności.

Discourse przed wskazanymi wersjami umożliwiał uwierzytelnionym użytkownikom wstrzyknięcie niezabezpieczonych znaków wildcard SQL (takich jak % i _) we wzorcach rozpoznawania uploadów, co powodowało wybieranie niepowiązanych rekordów. Dostęp do niedozwolonych metadanych, w tym nazw plików i ścieżek secure-upload, był możliwy bez modyfikacji rekordów.

W Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0, zabezpieczenie sprawdzające źródła iframe nie traktowało dosłownych backslashów jako separatorów ścieżek po zdekodowanych segmentach kropek. Specjalnie spreparowane źródło mogło przejść kontrolę allowed_iframes, podczas gdy normalizacja adresu URL w przeglądarce przesuwała iframe poza dozwoloną ścieżkę. W efekcie iframe mógł ładować treść z lokalizacji nieautoryzowanej przez administratora.

W Discourse przed wersjami 2026.1.8, 2026.6.3, 2026.7.2 i 2026.8.0, komponent placeholdera wideo pozwalał na wstrzyknięcie atrybutu przez spreparowany HTML, co umożliwiało osadzenie kontrolera zdarzeń sterowanego przez atakującego. Uwierzytelniony użytkownik z domyślnymi uprawnieniami do publikowania mógł zapisać spreparowany placeholder w poście. Gdy inny użytkownik otworzył post i kliknął nakładkę odtwarzania wideo, kontroler mógł wykonać dowolny JavaScript w sesji przeglądającego. Domyślnie CSP blokuje inline, ale przy wyłączonym lub poluzowanym CSP skrypt może czytać treść strony i wysyłać uwierzytelnione żądania.

Discourse przed wskazanymi wersjami pozwalał na wyświetlenie elementów reviewable AI związanych z prywatnymi wiadomościami w kolejce moderacji moderatora, który nie uczestniczył w wiadomości. Filtr widoczności nie ograniczał dostępu do tych elementów, umożliwiając moderatorem odczyt poufnych treści, a w niektórych sytuacjach modyfikację (zamknięcie tematu lub usunięcie posta).

Discourse, platforma dyskusyjna open-source, przed wersją 2026.7.0 zawiera podatność w komponencie post action, który nie escapował nazw wyświetlanych kontrolowanych przez użytkownika przed interpolacją ich do ciągu HTML przekazywanego do trustHTML. Użytkownik, który mógł wybrać spreparowaną nazwę wyświetlaną, mógł utrwalić znaczniki w opisach akcji postów. Przeglądanie dotkniętych strumieni aktywności użytkownika mogło wykonać skrypt kontrolowany przez atakującego w przeglądarce innego użytkownika. Problem został naprawiony w wersji 2026.7.0.

W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.1, na stronach z włączoną moderacją grup kategorii, kolejka przeglądu mogła zawierać fragment (i permalink) prywatnej wiadomości dołączonej do flagi, nawet gdy moderator kategorii nie był uczestnikiem tej wiadomości. Wiadomości flagowe notify_moderators są adresowane tylko do moderatorów i, dla flag podstawowych, do grup moderacji kategorii w momencie zgłoszenia flagi, więc moderator grupy kategorii mógł odczytać treść dyskusji flagowej, do której nie był upoważniony. Dotyczy to oficjalnych wtyczek tworzących takie wiadomości oraz flag podstawowych zgłoszonych przed przyznaniem grupie moderatora uprawnień do moderacji kategorii. Naruszona jest tylko poufność ograniczonego fragmentu tych prywatnych wiadomości związanych z flagami; żadna treść nie może być modyfikowana ani usuwana.

W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0, użytkownicy, którzy mogli przeglądać aktywność grupy, ale nie mieli uprawnień do widzenia wspólnych szkiców, mogli otrzymywać wpisy wspólnych szkiców przez punkty końcowe postów grupy i wzmianek grupy. To mogło ujawnić tytuły tematów szkiców oraz fragmenty/treść postów, co skutkowało ujawnieniem nieopublikowanych materiałów.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 ujawniał ukrytą lub niedostępną treść pierwszego posta jako fragment w publicznie serwowanych danych strukturalnych JSON-LD (QAPage), co pozwalało nieuwierzytelnionym odwiedzającym i robotom wyszukiwarek na jej odczyt.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 zawiera podatność w punkcie końcowym discourse_templates, która ujawnia ukryte nazwy tagów. Serializator DiscourseTemplates::TemplatesSerializer nie filtruje tagów przez Guardian, przez co nie respektuje uprawnień grup tagów, pozwalając użytkownikom zobaczyć tagi, których nie powinni widzieć.

Discourse ma podatność SQL injection w rozszerzeniu Data Explorer, umożliwiającą wykonanie dowolnego SQL przez parametry zapytań, nawet przez nieuprzywilejowanych użytkowników.

Discourse ma podatność na przechowywany XSS w edytorze tekstu sformatowanego, gdzie nazwa użytkownika w transkrypcji czatu jest renderowana jako HTML.

Podatność w Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0. Wtyczka discourse-local-dates renderowała sformatowane dane lokalnych dat jako HTML na stronach ze zmodyfikowaną lub wyłączoną domyślną polityką bezpieczeństwa treści.

Discourse, platforma dyskusyjna open-source, przed wersją 2026.1.7 pozwalała uwierzytelnionemu użytkownikowi na przesyłanie specjalnie sformowanych URL-i, które omijały listę dozwolonych Onebox i osadzały złośliwe treści na stronie. Problem naprawiono w wersjach 2026.1.7, 2026.6.2, 2026.7.1 i 2026.8.0-latest.1.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 pozwalał użytkownikowi z niskimi uprawnieniami na umieszczenie spreparowanych treści w kolejce moderacji, które wykonywały przechowywany XSS, gdy moderator je przeglądał na stronie ze zmodyfikowaną lub wyłączoną domyślną polityką CSP. Problem naprawiono w wersjach 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0.

Discourse, platforma dyskusyjna open-source, przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 umożliwiała uwierzytelnionemu użytkownikowi podsłuchiwanie prywatnych rozmów bota AI przez strumień odpowiedzi bota AI.

Discourse przed wersją 2026.1.6 renderował pola poprzedniej i nowej wartości w modelu dziennika akcji personelu bez escapowania, co mogło prowadzić do przechowywanego ataku XSS w interfejsie personelu.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w pliku plugins/chat/lib/chat/onebox_handler.rb rozwiązywał wątek czatu na podstawie parametru thread_id niezależnie od channel_id, zanim sprawdził, czy użytkownik może podglądać wybrany kanał. Uwierzytelniony użytkownik może połączyć publiczny identyfikator kanału z prywatnym identyfikatorem wątku w żądaniu /onebox.json i uzyskać treść prywatnych wiadomości wątku.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w SiteSerializer.anonymous_default_navigation_menu_tags serializował tagi z SiteSetting.default_navigation_menu_tags bez zastosowania DiscourseTagging.filter_visible dla anonimowego widza. Nieuwierzytelniony użytkownik może pobrać nazwy i opisy ograniczonych tagów przez /site.json, gdy tagi są ograniczone przez niedostępne kategorie, grupy tagów kategorii lub uprawnienia grup tagów.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w funkcjach TopicLink.extract_from, TopicLink.ensure_entry_for i TopicLink.duplicate_lookup nie egzekwował spójnie kontroli Guardian.can_see? podczas przetwarzania linków wewnętrznych. Uwierzytelniony użytkownik może przesłać linki do ograniczonych tematów, prywatnych wiadomości lub ukrytych postów i otrzymać znormalizowane slugi lub tytuły w odpowiedzi duplicate_lookup w composer_messages, mimo że cele nie są widoczne dla tego użytkownika.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w Onebox::DomainChecker.is_blocked? porównuje nazwy hostów z wpisami SiteSetting.blocked_onebox_domains w sposób uwzględniający wielkość liter, co pozwala atakującemu ominąć skonfigurowane ograniczenia domen Onebox przez zmianę wielkości liter w nazwie hosta docelowego przekierowania.

Discourse przed wersjami 2026.1.7, 2026.6.2, 2026.7.1 i 2026.8.0-latest.1 ma podatność na wstrzykiwanie HTML w PrettyText.format_for_email, ponieważ wartości atrybutów cooked są ponownie parsowane jako znaczniki. Specjalnie spreparowane atrybuty iframe Vimeo, URL-e bezpiecznych uploadów, wymiary lub wartości data-slug hashtagów mogą spowodować, że zdekodowany tekst atrybutu zostanie zinterpretowany jako HTML. Podatna konwersja nie waliduje również ściśle hosta i ścieżki iframe Vimeo, co pozwala na konwersję iframe spoza dozwolonej listy Vimeo.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, rewizje postów ukryte przed zwykłymi użytkownikami mogły być ujawniane poprzez widoczne różnice w sąsiednich rewizjach serializowanych przez PostRevisionSerializer.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 link wyróżniony w temacie nie był wystarczająco normalizowany i ucieczkowany przed renderowaniem na liście tematów. Umożliwiało to użytkownikowi ustawiającemu taki link wstrzyknięcie kodu JavaScript, gdy domyślna ochrona Content Security Policy została zmodyfikowana lub wyłączona.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 złośliwa nazwa drugiego czynnika uwierzytelniania na koncie atakującego nie była odpowiednio kodowana w oknie potwierdzenia usunięcia, co umożliwiało trwałe cross-site scripting (XSS) podczas gdy administrator podszywał się pod to konto.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 stwierdzono niedostateczne oczyszczanie plików SVG podczas przesyłania i obsługi awatarów użytkowników. Może to prowadzić do ataku typu cross-site scripting (XSS) po odwiedzeniu przez użytkownika określonych adresów URL, które nie są standardową częścią przeglądania społeczności.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, webhook AWS SES do obsługi odrzuceń (bounce) weryfikował podpisy wiadomości SNS, ale nie sprawdzał wartości TopicArn. Umożliwiało to dowolnemu posiadaczowi konta AWS wysłanie sfałszowanego powiadomienia o odrzuceniu, co powodowało unieważnienie adresu e-mail wybranego użytkownika.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, nazwy ograniczonych tagów i grup tagów przypisane do publicznie czytelnych kategorii jako dozwolone tagi, dozwolone grupy tagów lub wymagane grupy tagów mogły wyciekać do anonimowych i nieautoryzowanych użytkowników przez endpointy kategorii i grup.

W platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 zwykli użytkownicy mogli przekierowywać bezpośrednie wieloczęściowe przesyłanie plików do S3 przez ExternalUploadManager do magazynu kopii zapasowych administratora.

W Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, funkcja pull_hotlinked_images mogła ujawnić bezpieczne przesłane pliki, jeśli atakujący znał ich adres URL i włączone było ustawienie secure_uploads.

Podatność w platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 umożliwiała ujawnienie nazw zaproszonych grup, przykładowych uczestników oraz statystyk obecności użytkownikom, którzy mieli dostęp do tematu, ale nie byli uprawnieni do przeglądania prywatnej listy zaproszonych na wydarzenie.

W platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5 proces rejestracji umożliwiał nowym użytkownikom ustawienie primary_group_id i uzyskanie uprawnień grupy whisper bez prawidłowego członkostwa w grupach, gdy skonfigurowano whispers_allowed_groups.

W platformie Discourse przed wersjami 2026.6.0, 2026.5.1, 2026.4.2 i 2026.1.5, w pewnych niestandardowych konfiguracjach, przetwarzanie przesłanych plików PDF może zostać wykorzystane do zdalnego wykonania kodu (RCE) na serwerze. Podatność została załatana w wymienionych wersjach.

Discourse to otwartoźródłowa platforma dyskusyjna, w której występuje podatność w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1. Funkcja DetailedTagSerializer#tag_group_names zwracała wszystkie grupy tagów, do których należał tag, bez uwzględnienia widoczności użytkownika, co pozwalało anonimowym i nieuprzywilejowanym użytkownikom na dostęp do nazw grup tagów ograniczonych do określonych grup użytkowników.

Discourse to otwartoźródłowa platforma dyskusyjna, w której wystąpiła podatność w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1. Wywołanie MessageBus.publish dla /web_hook_events/<id> w Jobs::RedeliverWebHookEvents nie przekazywało group_ids, co umożliwiało dostęp do kanału każdemu uwierzytelnionemu użytkownikowi (lub anonimowemu, gdy logowanie było wyłączone).

W Discourse, platformie do dyskusji, występuje podatność na przejście ścieżki w obsłudze kopii zapasowych, która pozwala uwierzytelnionemu administratorowi na jednym z serwisów w wieloserwisowej instalacji na dostęp do plików kopii zapasowych innego serwisu. Problem dotyczy wersji od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1.

Discourse to otwartoźródłowa platforma dyskusyjna, w której występuje luka w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1. Wydarzenia czatu dla publicznych kanałów kategorii są publikowane do MessageBus bez odpowiednich uprawnień, co pozwala na odbieranie wiadomości czatu przez subskrybentów bez włączonego czatu w czasie rzeczywistym.

W platformie dyskusyjnej Discourse występuje luka, która pozwala uwierzytelnionym użytkownikom na dostęp do ukrytych treści rodzica postu poprzez użycie funkcji AI 'explain' na odpowiedzi do tego postu. Problem ten dotyczy wersji od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1.

Discourse to otwartoźródłowa platforma dyskusyjna, w której właściciele grup, nie będący administratorami ani moderatorami, mogą przeglądać dane uwierzytelniające SMTP w postaci niezaszyfrowanej. Dotyczy to wersji od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1.

W platformie dyskusyjnej Discourse występuje luka, która pozwala uwierzytelnionym użytkownikom spoza skonfigurowanych grup na publikowanie w kanałach szeptów przeznaczonych tylko dla personelu. Problem dotyczy wersji od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1.

Discourse to otwarta platforma dyskusyjna, w której występuje błąd w serializacji atrybutu :name w GroupPostSerializer. Błąd polega na tym, że niewłaściwie nazwany predykat include_user_long_name? nie był wywoływany, co skutkowało zawsze serializowaniem object.user.name, niezależnie od ustawienia SiteSetting.enable_names.

Discourse to otwartoźródłowa platforma dyskusyjna, w której występuje podatność w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1. Serializer ReviewableQueuedPostSerializer bezwarunkowo dołączał payload["raw_email"] dla postów przychodzących przez e-mail, co umożliwiało członkom grup moderacyjnych dostęp do pełnego źródła e-maila bez odpowiednich uprawnień.