PT-2026-48988 · Discourse · Discourse

CVE-2026-47264

·

Publicado

2026-06-12

·

Atualizado

2026-06-16

CVSS v3.1

5.3

Média

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas Discourse versões 2026.1.0 até 2026.1.3 Discourse versão 2026.3.0 Discourse versão 2026.4.0
Description Quando a configuração SiteSetting.tags listed by group está ativada, a função DetailedTagSerializer#tag group names retorna todos os grupos de tags associados a uma tag sem filtrar com base nas permissões de visibilidade do usuário solicitante. Isso permite que usuários anônimos e sem privilégios acessem os nomes de grupos de tags restritos a grupos de usuários específicos ou categorias não visíveis ao acessar o endpoint 'TagsController#info', que não requer autenticação.
Recommendations Atualizar para a versão 2026.1.4 Atualizar para a versão 2026.3.1 Atualizar para a versão 2026.4.1

Exploit

Correção

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BIT-DISCOURSE-2026-47264
CVE-2026-47264
GHSA-4Q5Q-6HH6-53X2

Produtos afetados

Discourse