CVE-2026-72724

Nome do Software Vulnerável e Versões Afetadas Discourse versões anteriores a 2026.1.6 Discourse versões anteriores a 2026.5.2 Discourse versões anteriores a 2026.6.1 Discourse versões anteriores a 2026.7.0

Description Um usuário autenticado pode obter o conteúdo de mensagens de threads privadas ao associar um ID de canal público a um ID de thread privada em uma requisição /onebox.json. Isso ocorre porque o arquivo plugins/chat/lib/chat/onebox handler.rb resolve Chat::Thread usando o thread id da rota independentemente do channel id da rota antes de verificar se o usuário tem permissão para visualizar o canal de chat selecionado.

Recommendations Atualize para a versão 2026.1.6. Atualize para a versão 2026.5.2. Atualize para a versão 2026.6.1. Atualize para a versão 2026.7.0.