CVE-2026-28218

Nome do Software Vulnerável e Versões Afetadas Versões do Discourse anteriores a 2025.12.2 Versões do Discourse anteriores a 2026.1.1 Versões do Discourse anteriores a 2026.2.0

Descrição O Discourse é uma plataforma de discussão de código aberto. Existe uma falha no mecanismo de controle de acesso do plugin Data Explorer, onde ele falha de forma a permitir acesso. Isso permite que qualquer usuário autenticado execute consultas SQL, incluindo consultas de sistema embutidas, que não possuem atribuições de grupo explícitas. O plugin Data Explorer está afetado. A funcionalidade vulnerável permite a execução de consultas SQL por meio do plugin.

Recomendações Versões anteriores a 2025.12.2: Atualize para a versão 2025.12.2 ou posterior. Versões anteriores a 2026.1.1: Atualize para a versão 2026.1.1 ou posterior. Versões anteriores a 2026.2.0: Atualize para a versão 2026.2.0 ou posterior. Como solução temporária, defina explicitamente as permissões de grupo para cada consulta do Data Explorer que não possua permissões. Como solução temporária, desative o plugin discourse-data-explorer.