CVE-2026-31869
Təsvir
Discourse açıq mənbəli müzakirə platformasıdır. 2026.3.0-latest.1, 2026.2.1 və 2026.1.2 versiyalarından əvvəl, ComposerController#mentions son nöqtəsi (endpoint), qrupa mesaj göndərə bilən hər hansı autentifikasiya olunmuş istifadəçiyə gizli qrup üzvlüyünü aşkar edir. Gizli üzvlüyü olan qrupu referans verən allowed_names parametrini təmin etməklə və ixtiyari istifadəçi adlarını yoxlamaqla, hücumçu user_reasons-un müəyyən bir istifadəçi üçün "private" qaytarıb-qaytarmadığına əsasən üzvlüyü müəyyən edə bilər. Bu, qrup üzvünün görünürlük idarəetməsini yan keçir. 2026.3.0-latest.1, 2026.2.1 və 2026.1.2 versiyaları düzəliş ehtiva edir. Bu problemin qarşısını almaq üçün, etibarsız istifadəçilərin zəiflik olan kod yoluna çata bilməməsi üçün hər hansı gizli üzvlüyü olan qrupun mesajlaşma siyasətini yalnız personal və ya qrup üzvləri ilə məhdudlaşdırın.
Necə düzəltmək olar
- discourse discourse2026.1.2, 2026.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| discourse discourse | 2026.1.0 ≤ v < 2026.1.2, 2026.2.0 ≤ v < 2026.2.1, 2026.3.0 | 2026.1.2, 2026.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.