CVE-2026-33428

MEDIUM CVSS 4.0: 4,9 EPSS 0.01%
Обновлено 24 марта 2026
Discourse
Параметр Значение
CVSS 4,9 (MEDIUM)
Уязвимые версии 2026.1.0 — 2026.2.1
Устранено в версии 2026.1.2
Тип уязвимости CWE-863 (Неправильная авторизация)
Поставщик Discourse
Публичный эксплойт Нет

Discourse — это дискуссионная платформа с открытым исходным кодом. До версий 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 нештатный пользователь с повышенным членством в группе мог получить доступ к удаленным сообщениям, принадлежащим любому пользователю, из-за слишком широкой проверки авторизации в конечной точке индекса удаленных сообщений. Версии 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 содержат исправление.

Никаких известных обходных путей не существует.

Показать оригинальное описание (EN)

Discourse is an open-source discussion platform. Prior to versions 2026.3.0-latest.1, 2026.2.1, and 2026.1.2, a non-staff user with elevated group membership could access deleted posts belonging to any user due to an overly broad authorization check on the deleted posts index endpoint. Versions 2026.3.0-latest.1, 2026.2.1, and 2026.1.2 contain a patch. No known workarounds are available.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя

Последствия

Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Уязвимые продукты 3

Конфигурация От (включительно) До (исключительно)
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
2026.1.0 2026.1.2
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
2026.2.0 2026.2.1
Discourse Discourse
cpe:2.3:a:discourse:discourse:2026.3.0:*:*:*:latest:*:*:*