Discourse — это дискуссионная платформа с открытым исходным кодом. До версий 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 конечная точка ComposerController#mentions раскрывала скрытое членство в группе любому прошедшему проверку подлинности пользователю, который может отправлять сообщения в группу. Предоставляя разрешенные_имена, ссылающиеся на группу со скрытым членством, и проверяя произвольные имена пользователей, злоумышленник может сделать вывод о членстве на основе того, возвращает ли user_reasons «частный» для данного пользователя.
Это обходит элементы управления видимостью членов группы. Версии 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 содержат исправление. Чтобы обойти эту проблему, ограничьте политику сообщений любой группы со скрытым членством только сотрудниками или членами группы, чтобы ненадежные пользователи не могли добраться до уязвимого пути кода.
Показать оригинальное описание (EN)
Discourse is an open-source discussion platform. Prior to versions 2026.3.0-latest.1, 2026.2.1, and 2026.1.2, the ComposerController#mentions endpoint reveals hidden group membership to any authenticated user who can message the group. By supplying allowed_names referencing a hidden-membership group and probing arbitrary usernames, an attacker can infer membership based on whether user_reasons returns "private" for a given user. This bypasses group member-visibility controls. Versions 2026.3.0-latest.1, 2026.2.1, and 2026.1.2 contain a patch. To work around this issue, restrict the messageable policy of any hidden-membership group to staff or group members only, so untrusted users cannot reach the vulnerable code path.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 3
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
|
2026.1.0
|
2026.1.2
|
|
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
|
2026.2.0
|
2026.2.1
|
|
Discourse Discourse
cpe:2.3:a:discourse:discourse:2026.3.0:*:*:*:latest:*:*:*
|
— | — |