CVE-2026-26973

Discourse açıq mənbəli müzakirə platformasıdır. 2025.12.2, 2026.1.1 və 2026.2.0 versiyalarından əvvəlki versiyalarda `ReviewableNotesController` komponentində IDOR (Insecure Direct Object Reference) boşluğu mövcuddur. `enable_category_group_moderation` aktiv olduqda, kateqoriya moderasiya qrupuna daxil olan istifadəçi sistemdəki **hər hansı** nəzərdən keçirilə bilən obyekt üzərində, o cümlədən moderasiya etmədiyi kateqoriyalardakı obyektlərdə öz qeydlərini yarada və ya silə bilər. Kontroller scoped olmayan `Reviewable.find` metodundan istifadə edirdi və `ensure_can_see` qoruması yalnız istifadəçinin ümumiyyətlə nəzərdən keçirmə növbəsinə daxil ola bildiyini yoxlayırdı, konkret obyektə giriş imkanını yoxlamırdı. Yalnız `enable_category_group_moderation` funksiyası aktiv olan nümunələr təsirlənir. Heyət istifadəçiləri (adminlər/moderatorlar) artıq bütün nəzərdən keçirilə bilən obyektlərə çıxışa malik olduqları üçün bu problemdən təsirlənmirlər. Problem 2025.12.2, 2026.1.1 və 2026.2.0 versiyalarında nəzərdən keçirmə axtarışının `Reviewable.viewable_by(current_user)` vasitəsilə məhdudlaşdırılması ilə aradan qaldırılmışdır. Müvəqqəti həll yolu kimi `enable_category_group_moderation` sayt parametrinə məhdudiyyət qoyulması tövsiyə olunur. Bu, hücum səthini aradan qaldırır, çünki nəzərdən keçirmə növbəsinə yalnız heyət istifadəçilərinin girişi olacaqdır.