CVE-2026-26077

Discourse açık kaynaklı bir tartışma platformudur. 2025.12.2, 2026.1.1 ve 2026.2.0 versiyonlarından önce, `WebhooksController` içindeki çeşitli webhook uç noktaları (SendGrid, Mailjet, Mandrill, Postmark, SparkPost), herhangi bir token yapılandırılmadığında geçerli bir kimlik doğrulama token'ı olmaksızın istekleri kabul ediyordu. Bu durum, kimliği doğrulanmamış saldırganların sahte webhook yükleri oluşturmasına ve kullanıcı bounce skorlarını yapay olarak artırmasına olanak tanıyarak potansiyel olarak meşru kullanıcı e-postalarının devre dışı kalmasına neden olabiliyordu. Mailpace uç noktasında ise hiçbir token doğrulaması bulunmuyordu. 2025.12.2, 2026.1.1 ve 2026.2.0 versiyonlarıyla birlikte, tüm webhook uç noktaları kimlik doğrulama token'ı yapılandırılmadığında istekleri 406 yanıtıyla reddetmektedir. Geçici bir çözüm olarak, site ayarlarındaki tüm e-posta sağlayıcı entegrasyonları için webhook kimlik doğrulama token'larının yapılandırıldığından emin olun (örneğin; `sendgrid_verification_key`, `mailjet_webhook_token`, `postmark_webhook_token`, `sparkpost_webhook_token`). Bu düzeltme uygulanmadan önce mailpace için mevcut bir geçici çözüm bulunmamaktadır.