CVE-2024-24827

Discourse, topluluk tartışmaları için açık kaynaklı bir platformdur. POST /uploads uç noktasında bir hız sınırlaması (rate limit) bulunmaması, yükleme oluşturma işlemi kaynak yoğun bir süreç olabildiği için bir saldırganın sunucu üzerinde DoS saldırısı gerçekleştirmesini kolaylaştırır. `max_image_size_kb`, `max_attachment_size_kb` ve `max_image_megapixels` gibi çeşitli site ayarlarının, bir yükleme oluşturulurken kullanılan kaynak miktarını belirleyecek olması nedeniyle etkinin siteden siteye farklılık gösterdiği unutulmamalıdır. Sorun, Discourse'un en son kararlı, beta ve testlerden geçmiş sürümlerinde düzeltilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, daha küçük yüklemelerin işlenmesi için daha az kaynak gerektirdiğinden `max_image_size_kb`, `max_attachment_size_kb` ve `max_image_megapixels` değerlerini düşürmelidir. Alternatif olarak, büyük yüklemelerin sunucuya ulaşmasını önlemek için Nginx'te `client_max_body_size` değeri düşürülebilir.