Discourse — это дискуссионная платформа с открытым исходным кодом. До версий 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 существовала уязвимость небезопасной прямой ссылки на объект (IDOR), которая позволяла любому аутентифицированному пользователю получить доступ к метаданным о персонажах, функциях и моделях LLM ИИ, предоставив их идентификаторы. Эта информация включает в себя распределение кредитов и статистику использования, которые не предназначены для публичного разглашения.
Атака осуществляется по сети, требует низких привилегий (любой вошедший в систему пользователь) и приводит к незначительному влиянию на конфиденциальность без влияния на целостность или доступность. Версии 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 содержат исправление. Чтобы обойти эту проблему, отключите плагин AI или обновите исправленную версию.
Показать оригинальное описание (EN)
Discourse is an open-source discussion platform. Prior to versions 2026.3.0-latest.1, 2026.2.1, and 2026.1.2, there is an Insecure Direct Object Reference (IDOR) vulnerability that allows any authenticated user to access metadata about AI personas, features, and LLM models by providing their identifiers. This information includes credit allocations and usage statistics which are not intended to be public. The attack is performed over the network, requires low privileges (any logged-in user), and results in a low impact on confidentiality with no impact on integrity or availability. Versions 2026.3.0-latest.1, 2026.2.1, and 2026.1.2 contain a patch. To work around this issue, disable AI plugin or upgrade to a patched version.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 3
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
|
2026.1.0
|
2026.1.2
|
|
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
|
2026.2.0
|
2026.2.1
|
|
Discourse Discourse
cpe:2.3:a:discourse:discourse:2026.3.0:*:*:*:latest:*:*:*
|
— | — |