PT-2026-26543
CVE-2026-31869
·
تاريخ النشر
2026-03-20
·
تاريخ التحديث
2026-03-27
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Discourse الأقدم من 2026.3.0-latest.1
إصدارات Discourse الأقدم من 2026.2.1
إصدارات Discourse الأقدم من 2026.1.2
الوصف
Discourse هي منصة مناقشة مفتوحة المصدر. تكشف نقطة نهاية واجهة برمجة التطبيقات (API)
ComposerController#mentions عن عضوية المجموعات المخفية لأي مستخدم تمت مصادقته ويمكنه إرسال رسائل إلى المجموعة. من خلال توفير allowed names التي تشير إلى مجموعة ذات عضوية مخفية واختبار أسماء مستخدمين عشوائية، يمكن للمهاجم استنتاج العضوية بناءً على ما إذا كانت user reasons تُرجع ”private“ لمستخدم معين. وهذا يتجاوز ضوابط رؤية أعضاء المجموعة.التوصيات
قم بتقييد سياسة إرسال الرسائل لأي مجموعة ذات عضوية مخفية لتقتصر على الموظفين أو أعضاء المجموعة فقط، بحيث لا يتمكن المستخدمون غير الموثوق بهم من الوصول إلى مسار الكود المعرض للخطر.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾