CVE-2026-26207

Discourse açık kaynaklı bir tartışma platformudur. 2025.12.2, 2026.1.1 ve 2026.2.0 versiyonlarından önce, `discourse-policy` eklentisi kimliği doğrulanmış herhangi bir kullanıcının görüntüleme iznine sahip olmadığı gönderilerdeki politikalarla etkileşime girmesine izin vermektedir. `PolicyController`, mevcut kullanıcının erişimini doğrulamadan gönderileri ID üzerinden yüklemektedir; bu durum politika grubu üyelerinin göremedikleri özel kategorilerdeki veya özel mesajlardaki (PM) gönderilerde politikaları kabul etmesine/reddetmesine ve kimliği doğrulanmış herhangi bir kullanıcının farklı hata yanıtları aracılığıyla hangi gönderi ID'lerine politika eklendiğini tespit etmesine (bilgi ifşası) olanak tanımaktadır. Sorun; `set_post` before_action kısmına bir `guardian.can_see?(@post)` kontrolü eklenerek, herhangi bir politika işlemi işlenmeden önce gönderi görünürlüğünün doğrulandığı 2025.12.2, 2026.1.1 ve 2026.2.0 versiyonlarında düzeltilmiştir. Geçici bir çözüm olarak, `discourse-policy` eklentisinin devre dışı bırakılması (`policy_enabled = false`) güvenlik açığını ortadan kaldırır. Güncelleme yapmadan başka bir geçici çözüm bulunmamaktadır.