CVE-2022-41913

Discourse-calendar (versões afetadas não especificadas)

O plugin Discourse-calendar para a plataforma de mensagens Discourse é afetado por uma falha que permite aos usuários listar membros de grupos privados ou de grupos públicos com membros privados, além de criar e editar eventos de postagem. Essa falha afeta apenas sites com eventos de postagem do Discourse habilitados. A falha foi corrigida em um commit, que será incluído em versões futuras.

Para mitigar totalmente a falha, os usuários que não puderem atualizar devem desativar a configuração discourse post event enabled.

Como solução temporária, é possível impedir que usuários comuns explorem essa vulnerabilidade removendo todos os grupos da configuração discourse post event allowed on groups, mas observe que os moderadores ainda poderão usá-la.