CVE-2026-26207

Discourse açıq mənbəli müzakirə platformasıdır. 2025.12.2, 2026.1.1 və 2026.2.0 versiyalarından əvvəl `discourse-policy` plagini hər hansı autentifikasiya olunmuş istifadəçiyə baxmaq üçün icazəsinin olmadığı postlardakı siyasətlərlə qarşılıqlı əlaqə qurmağa imkan verir. `PolicyController` cari istifadəçinin giriş hüququnu yoxlamadan postları ID vasitəsilə yükləyir ki, bu da siyasət qrupunun üzvlərinə görə bilmədikləri şəxsi kateqoriyalardakı postlarda və ya şəxsi mesajlarda (PM) siyasətləri qəbul etməyə/imtina etməyə, həmçinin hər hansı autentifikasiya olunmuş istifadəçiyə fərqli xəta cavabları vasitəsilə hansı post ID-lərində siyasətlərin olduğunu müəyyən etməyə (məlumat sızması) imkan yaradır. Problem 2025.12.2, 2026.1.1 və 2026.2.0 versiyalarında `set_post` before_action hissəsinə `guardian.can_see?(@post)` yoxlamasının əlavə edilməsi ilə aradan qaldırılmışdır ki, bu da hər hansı siyasət əməliyyatı icra edilməzdən əvvəl postun görünürlüyünün təsdiq edilməsini təmin edir. Müvəqqəti həll yolu kimi, `discourse-policy` plaginini deaktiv etmək (`policy_enabled = false`) zəifliyi aradan qaldırır. Yeniləmə etmədən başqa heç bir alternativ həll yolu yoxdur.