CVE-2026-26973

Nome do Software Vulnerável e Versões Afetadas Versões do Discourse anteriores a 2025.12.2 Versões do Discourse anteriores a 2026.1.1 Versões do Discourse anteriores a 2026.2.0

Descrição O Discourse é uma plataforma de discussão de código aberto. Existe uma falha no ReviewableNotesController que permite uma Referência Direta a Objeto Inseguro (IDOR). Quando a configuração enable category group moderation está habilitada, um usuário pertencente a um grupo de moderação de categoria pode criar ou excluir notas em qualquer item revisável dentro do sistema, mesmo aqueles em categorias que não estão autorizados a moderar. O problema decorre do uso de uma função Reviewable.find sem escopo e de uma verificação ensure can see que valida apenas o acesso à fila de revisão de forma geral, em vez de itens revisáveis específicos. Usuários staff (administradores/moderadores) não são afetados, pois já possuem acesso a todos os itens revisáveis.

Recomendações Versões do Discourse anteriores a 2025.12.2 devem ser atualizadas para a versão 2025.12.2 ou posterior. Versões do Discourse anteriores a 2026.1.1 devem ser atualizadas para a versão 2026.1.1 ou posterior. Versões do Discourse anteriores a 2026.2.0 devem ser atualizadas para a versão 2026.2.0 ou posterior. Como solução temporária, desabilite a configuração de site enable category group moderation.