Podatności Discourse

Discourse to otwartoźródłowa platforma dyskusyjna, w której właściciele grup, nie będący administratorami ani moderatorami, mogą przeglądać dane uwierzytelniające SMTP w postaci niezaszyfrowanej. Dotyczy to wersji od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1.

W platformie dyskusyjnej Discourse występuje luka, która pozwala uwierzytelnionym użytkownikom spoza skonfigurowanych grup na publikowanie w kanałach szeptów przeznaczonych tylko dla personelu. Problem dotyczy wersji od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1.

Discourse to otwarta platforma dyskusyjna, w której występuje błąd w serializacji atrybutu :name w GroupPostSerializer. Błąd polega na tym, że niewłaściwie nazwany predykat include_user_long_name? nie był wywoływany, co skutkowało zawsze serializowaniem object.user.name, niezależnie od ustawienia SiteSetting.enable_names.

Discourse to otwartoźródłowa platforma dyskusyjna, w której występuje podatność w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1. Serializer ReviewableQueuedPostSerializer bezwarunkowo dołączał payload["raw_email"] dla postów przychodzących przez e-mail, co umożliwiało członkom grup moderacyjnych dostęp do pełnego źródła e-maila bez odpowiednich uprawnień.

Discourse to otwartoźródłowa platforma dyskusyjna, która w wersjach od 2026.1.0 do przed 2026.1.4, od 2026.3.0 do przed 2026.3.1 oraz od 2026.4.0 do przed 2026.4.1 ujawnia logi audytowe tłumaczeń whisper przez punkty końcowe debugowania botów. Problem został naprawiony w wersjach 2026.1.4, 2026.3.1, 2026.4.1 oraz 2026.5.0-latest.1.

Discourse przed wersjami 2026.1.4, 2026.3.1, 2026.4.1 i 2026.5.0-latest.1 zawiera podatność we wtyczce discourse-subscriptions, która pozwala użytkownikom uzyskać dostęp do grup objętych subskrypcją bez dokonania płatności.

Discourse w wersjach przed 2026.1.4, 2026.3.1, 2026.4.1 i 2026.5.0-latest.1 umożliwia uwierzytelnionemu użytkownikowi odczyt nazwy i struktury szablonów formularzy przeznaczonych wyłącznie dla kategorii, do których nie ma dostępu.

Discourse przed wersjami 2026.1.4, 2026.3.1, 2026.4.1 i 2026.5.0-latest.1 przechowuje nieaktualne podsumowania AI, które mogą ujawniać usunięte treści anonimowym i nieuprzywilejowanym użytkownikom.

Discourse, otwartoźródłowa platforma dyskusyjna, zawiera lukę, która ujawnia niestandardowe pola użytkownika i nazwę użytkownika na publicznych stronach zaproszeń bez weryfikacji e-mail. Luka występuje w wersjach od 2026.1.0-latest do przed 2026.1.3, od 2026.2.0-latest do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0.

Discourse w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0 do przed 2026.3.0 zawiera podatność na obejście autoryzacji. Nieuwierzytelnieni lub nieautoryzowani użytkownicy mogą wyświetlić tagi przeznaczone tylko dla personelu oraz powiązane dane.

Discourse, platforma dyskusyjna, zawiera podatność w endpointcie analityki sentymentu. Uwierzytelniony użytkownik z rolą moderatora może odczytać treść postów, tytuły tematów i nazwy użytkowników z kategorii, do których nie ma uprawnień. Problem został naprawiony w wersjach 2026.1.3, 2026.2.2 i 2026.3.0.

W Discourse stwierdzono obejście autoryzacji w kontrolerze Category Chatables, które pozwala moderatorom uzyskać informacje o ukrytych grupach i liczbie użytkowników.

Discourse ma lukę w endpointzie testowym ustawień e-mail grupy, który umożliwia inicjowanie połączeń wychodzących do dowolnych hostów i portów. Endpoint był dostępny dla właścicieli grup niebędących personelem.

Discourse w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0 umożliwia użytkownikowi zakup subskrypcji niższego poziomu, ale uzyskanie korzyści przypisanych do wyższego poziomu subskrypcji.

Discourse z wtyczką discourse-subscriptions w wersjach od 2026.1.0 do 2026.1.3, od 2026.2.0 do 2026.2.2 oraz od 2026.3.0 do 2026.3.0 ujawnia klucze API Stripe między witrynami w klastrze wielostanowiskowym. Może to prowadzić do wycieku informacji związanych ze Stripe między witrynami w tym samym klastrze.

Discourse pozwala uwierzytelnionemu użytkownikowi na uzyskanie tytułów tematów z kategorii współdzielonych szkiców poprzez wysłanie żądania inline onebox z odpowiednim category_id.

Discourse umożliwia użytkownikom niebędącym personelem dostęp do informacji o potwierdzeniach przeczytania postów przeznaczonych tylko dla personelu. Ujawniane są metadane (kto i kiedy przeczytał), ale nie treść posta.

Discourse w wersjach przed 2026.1.3, 2026.2.2 i 2026.3.0 pozwala użytkownikom, którzy utracili dostęp do tematu (np. usunięci z grupy prywatnej), na interakcję z ankietami w tym temacie, w tym głosowanie i zmianę statusu ankiety.

Discourse umożliwia wnioskowanie o członkostwie w kanałach czatu poprzez wyszukiwanie użytkowników bez odpowiedniej autoryzacji.

W platformie dyskusyjnej Discourse w wersjach od 2026.1.0-latest do przed 2026.1.3, od 2026.2.0-latest do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0 moderatorzy grup kategorii mogli wykonywać uprzywilejowane działania na tematach w prywatnych kategoriach, do których nie mieli dostępu do odczytu. Podatność została załatana w wersjach 2026.1.3, 2026.2.2 i 2026.3.0.

W Discourse, gdy włączona jest opcja ukryta 'prioritize_full_name_in_ux', nazwy wyświetlane użytkowników i grup są renderowane bez kodowania HTML w kilku ścieżkach UI związanych z przypisaniami. Umożliwia to użytkownikom z uprawnieniami assign wstrzyknięcie dowolnego HTML/JavaScript, który wykonuje się w przeglądarce każdego użytkownika przeglądającego dotknięty temat.

W Discourse aktualizacja opisu kategorii przez API nie oczyszczała łańcucha opisu, co może prowadzić do ataków XSS. Podatność występuje w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0 do przed 2026.3.0.

W Discourse osoba atakująca z możliwością tworzenia współdzielonych konwersacji AI może wstrzyknąć dowolny HTML i JavaScript poprzez spreparowane tytuły konwersacji. Ładunek wykonuje się w przeglądarce każdego użytkownika przeglądającego podgląd onebox, co może prowadzić do przejęcia sesji lub nieautoryzowanych działań w imieniu ofiary.

W Discourse moderatorzy mogą eksportować dane CSV z raportów zastrzeżonych dla administratorów, omijając ograniczenia widoczności raportów. Może to ujawnić wrażliwe dane operacyjne.

Discourse ma lukę w akcji enter w StaticController, która odczytuje ciasteczko sso_destination_url i przekierowuje do niego z allow_other_host: true bez walidacji docelowego URL. Ciasteczka są kontrolowane przez klienta i mogą być ustawione przez atakującego.

Discourse to platforma dyskusyjna. W wersjach przed 3.6.2 i 3.6.0.beta2 brakowało domyślnego nagłówka Cache-Control (no-store, no-cache) w odpowiedziach błędów. Może to powodować niezamierzone buforowanie tych odpowiedzi przez proxy, prowadząc do ataków cache poisoning.

Discourse w wersjach 3.5.0 i starszych pozwala na osadzenie złośliwych meta-poleceń w zrzucie kopii zapasowej, które są wykonywane podczas przywracania. W konfiguracjach multisite pozwalało to administratorowi jednej witryny na dostęp do danych lub poświadczeń innych witryn. Problem naprawiono w wersji 3.5.1.

Discourse w wersjach 3.5.0 i starszych pozwala uwierzytelnionym użytkownikom na wyodrębnienie informacji o tematach, do których nie mają uprawnień, poprzez modyfikację wartości topic_id w żądaniach do endpointów sugestii AI (Tytuł, Kategoria, Tagi).

Discourse w wersjach 3.5.0 i starszych jest podatny na ataki XSS poprzez parsowanie i renderowanie tytułów kanałów czatu oraz wątków czatu za pomocą funkcji cytowania wiadomości w edytorze tekstu sformatowanego. Problem naprawiono w wersji 3.5.1.

Discourse to otwartoźródłowa platforma dyskusyjna. Przed wersją 3.0.6 gałęzi `stable` oraz wersją 3.1.0.beta7 gałęzi `beta` i `tests-passed`, nieautoryzowani użytkownicy mogli uzyskać dostęp do informacji o tagach tematów o ograniczonej widoczności.

Discourse to otwarta platforma dyskusyjna, która przed wersją 3.0.6 w gałęzi `stable` oraz 3.1.0.beta7 w gałęziach `beta` i `tests-passed` nie narzucała górnego limitu na parametry limitu w wielu akcjach kontrolera. Brak tego ograniczenia może pozwolić użytkownikom na generowanie zapytań do bazy danych, co może prowadzić do wyczerpania zasobów serwera.

Discourse to otwarta platforma dyskusyjna, w której przed wersją 3.0.6 gałęzi `stable` oraz 3.1.0.beta7 gałęzi `beta` i `tests-passed`, złośliwy użytkownik może opóźnić przetwarzanie kolejki defer na stronach hostowanych w tej samej instalacji multisite.

Discourse to otwarta platforma dyskusyjna, w której przed wersją 3.0.6 gałęzi `stable` oraz 3.1.0.beta7 gałęzi `beta` i `tests-passed`, złośliwy użytkownik może edytować post w wątku, co prowadzi do ataku DoS poprzez starannie skonstruowany powód edycji.

Discourse to otwarta platforma dyskusyjna, w której przed wersją 3.0.6 gałęzi `stable` oraz 3.1.0.beta7 gałęzi `beta` i `tests-passed` można było utworzyć więcej użytkowników niż dozwolone za pomocą linków zaproszeniowych. Problem został naprawiony w wersjach 3.0.6 i 3.1.0.beta7.

W platformie dyskusyjnej Discourse przed wersją 3.1.0.beta7 z gałęzi `beta` i `tests-passed` odkryto podatność na ponowne użycie nonce w CSP (Content Security Policy), co może umożliwić ataki XSS (cross-site scripting) dla anonimowych użytkowników. Wersja 3.1.0.beta7 zawiera poprawkę.

Discourse to otwarta platforma dyskusyjna, w której występuje podatność umożliwiająca wywołanie odmowy usługi podczas próby utworzenia lub zaktualizowania niestandardowej sekcji bocznej. Problem został naprawiony w commicie `52b003d915`.

Discourse to otwarta platforma dyskusyjna, która ma podatność umożliwiającą użytkownikom ominięcie walidacji tytułów tematów podczas ich edytowania. Problemy dotyczą długości tytułu, liczby emoji w tytule oraz pustych tytułów tematów.

Discourse, otwarta platforma dyskusyjna, ma podatność na ponowne użycie nonce w polityce bezpieczeństwa treści (CSP), co może umożliwić ataki XSS omijające ochronę CSP. Obecnie nie ma znanych wektorów XSS, ale w przypadku ich odkrycia, ta podatność pozwoliłaby na całkowite ominięcie CSP.

Discourse to otwarta platforma dyskusyjna, w której przed wersją 3.0.4 gałęzi `stable` oraz 3.1.0.beta5 gałęzi `beta` i `tests-passed`, atakujący mógł wykorzystać nowy punkt końcowy do odrzucania tematów, aby ujawnić liczbę ostatnio utworzonych tematów w kategoriach, do których nie miał dostępu.