CVE-2022-24866

Versões do Discourse Assign anteriores à 1.0.1

O UserBookmarkSerializer no Discourse Assign serializava o objeto User / Group na íntegra, o que causava o vazamento de algumas informações privadas. Esses dados eram acessíveis apenas a pessoas com permissão para visualizar informações de atribuição, o que, por padrão, era restrito à equipe; no entanto, em sites com recursos de atribuição habilitados publicamente, os dados ficavam acessíveis a mais pessoas além da equipe.

Para versões anteriores à 1.0.1, atualize para a versão 1.0.1 para resolver o problema. Como solução temporária, considere restringir o acesso às informações de atribuição para minimizar o risco de exploração.