Discourse — это дискуссионная платформа с открытым исходным кодом. В версиях до 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 есть две проблемы с авторизацией в API прямых сообщений чата. Во-первых, при создании прямого канала сообщений или добавлении пользователей в существующий параметр target_groups передавался непосредственно в запрос разрешения пользователя без проверки видимости группы или члена для действующего пользователя.
Аутентифицированный пользователь чата может создать запрос API с известным именем частной/скрытой группы и получить канал, содержащий участников этой группы, раскрывая их личности. Во-вторых, `can_chat?` проверял только членство в группе, а не предпочтения пользователя `chat_enabled`. Пользователь с отключенным чатом может создавать или запрашивать каналы DM между другими пользователями через API прямых сообщений, потенциально раскрывая частный контент «last_message» из сериализованного ответа канала.
Версии 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 содержат исправление. Никаких известных обходных путей не существует.
Показать оригинальное описание (EN)
Discourse is an open-source discussion platform. Versions prior to 2026.3.0-latest.1, 2026.2.1, and 2026.1.2 have two authorization issues in the chat direct message API. First, when creating a direct message channel or adding users to an existing one, the `target_groups` parameter was passed directly to the user resolution query without checking group or member visibility for the acting user. An authenticated chat user could craft an API request with a known private/hidden group name and receive a channel containing that group's members, leaking their identities. Second, `can_chat?` only checked group membership, not the `chat_enabled` user preference. A chat-disabled user could create or query DM channels between other users via the direct messages API, potentially exposing private `last_message` content from the serialized channel response. Versions 2026.3.0-latest.1, 2026.2.1, and 2026.1.2 contain a patch. No known workarounds are available.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 3
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
|
2026.1.0
|
2026.1.2
|
|
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
|
2026.2.0
|
2026.2.1
|
|
Discourse Discourse
cpe:2.3:a:discourse:discourse:2026.3.0:*:*:*:latest:*:*:*
|
— | — |