CVE-2026-33393
Təsvir
Discourse açıq mənbəli müzakirə platformasıdır. 2026.3.0-latest.1, 2026.2.1 və 2026.1.2 versiyalarından əvvəl `allowed_spam_host_domains` yoxlaması domen sərhədinin təsdiqlənməsi olmadan `String#end_with?` metodundan istifadə edirdi; bu da `example.com` ağ siyahıya alındıqda `attacker-example.com` kimi domenlərin spam mühafizəsini yan keçməsinə şərait yaradırdı. 2026.3.0-latest.1, 2026.2.1 və 2026.1.2 versiyaları `newuser_spam_host_threshold` parametrinin suffiks əsaslı yan keçilməsinin qarşısını almaq üçün dəqiq uyğunluğu və ya düzgün alt domen uyğunluğunu (qarşısında `.` işarəsi ilə) tələb edir. Heç bir məlum alternativ həll yolu mövcud deyil.
Necə düzəltmək olar
- discourse discourse2026.1.2, 2026.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| discourse discourse | 2026.1.0 ≤ v < 2026.1.2, 2026.2.0 ≤ v < 2026.2.1, 2026.3.0 | 2026.1.2, 2026.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.