CVE-2025-68934

Nome do Software Vulnerável e Versões Afetadas Versões do Discourse anteriores a 3.5.4 Versões do Discourse anteriores a 2025.11.2 Versões do Discourse anteriores a 2025.12.1 Versões do Discourse anteriores a 2026.1.0

Descrição O Discourse é uma plataforma de discussão de código aberto. Usuários autenticados podem submeter cargas especialmente construídas ao endpoint da API /drafts.json, o que causa processamento ineficiente na função Base62.decode. Isso resulta em uma condição de negação de serviço, ocupando os workers por 35 a 60 segundos por requisição e afetando todos os usuários devido ao esgotamento do pool de workers compartilhado. O problema decorre da complexidade O(n^2) no processo de decodificação. Reduzir a configuração max draft length do site diminui a superfície de ataque, mas não resolve completamente o problema, já que cargas abaixo do limite ainda podem acionar o caminho de código lento.

Recomendações Atualize o Discourse para a versão 3.5.4 ou posterior. Atualize o Discourse para a versão 2025.11.2 ou posterior. Atualize o Discourse para a versão 2025.12.1 ou posterior. Atualize o Discourse para a versão 2026.1.0 ou posterior.