CVE-2026-26077

Discourse açıq mənbəli müzakirə platformasıdır. 2025.12.2, 2026.1.1 və 2026.2.0 versiyalarından əvvəl, `WebhooksController`-dəki bir neçə webhook son nöqtələri (SendGrid, Mailjet, Mandrill, Postmark, SparkPost), heç bir token konfiqurasiya edilmədikdə sorğuları etibarlı autentifikasiya tokeni olmadan qəbul edirdi. Bu, autentifikasiya olunmamış hücumçulara webhook yüklərini saxtalaşdırmağa və istifadəçi bounce ballarını süni şəkildə artırmağa imkan verirdi ki, bu da potensial olaraq legitim istifadəçi e-poçtlarının deaktiv edilməsinə səbəb ola bilərdi. Mailpace son nöqtəsində isə token yoxlaması ümumiyyətlə mövcud deyildi. 2025.12.2, 2026.1.1 və 2026.2.0 versiyalarından başlayaraq, bütün webhook son nöqtələri autentifikasiya tokeni konfiqurasiya edilmədikdə sorğuları 406 cavabı ilə rədd edir. Müvəqqəti həll yolu kimi, sayt parametrlərində bütün e-poçt provayder inteqrasiyaları üçün webhook autentifikasiya tokenlərinin konfiqurasiya edildiyindən əmin olun (məsələn, `sendgrid_verification_key`, `mailjet_webhook_token`, `postmark_webhook_token`, `sparkpost_webhook_token`). Bu düzəliş tətbiq edilənə qədər mailpace üçün hazırda heç bir müvəqqəti həll yolu yoxdur.