CVE-2026-26973

Discourse açık kaynaklı bir tartışma platformudur. 2025.12.2, 2026.1.1 ve 2026.2.0 öncesindeki sürümlerde `ReviewableNotesController` bileşeninde bir IDOR (Güvensiz Doğrudan Nesne Referansı) bulunmaktadır. `enable_category_group_moderation` etkinleştirildiğinde, bir kategori moderasyon grubuna ait olan kullanıcı, modere etmedikleri kategorilerdeki incelemeler de dahil olmak üzere sistemdeki **herhangi bir** inceleme nesnesi üzerinde kendi notlarını oluşturabilir veya silebilir. Denetleyici kapsam dışı bir `Reviewable.find` kullanıyordu ve `ensure_can_see` koruması yalnızca kullanıcının genel olarak inceleme kuyruğuna erişip erişemeyeceğini kontrol ediyordu; belirli bir inceleme nesnesine erişip erişemeyeceğini kontrol etmiyordu. Yalnızca `enable_category_group_moderation` özelliği etkin olan örnekler etkilenmektedir. Personel kullanıcılar (yöneticiler/moderatörler), zaten tüm inceleme nesnelerine erişimleri olduğu için etkilenmemektedir. Sorun; inceleme nesnesi aramasının `Reviewable.viewable_by(current_user)` üzerinden kapsanmasıyla 2025.12.2, 2026.1.1 ve 2026.2.0 sürümlerinde düzeltilmiştir. Geçici çözüm olarak `enable_category_group_moderation` site ayarı devre dışı bırakılabilir. Bu işlem, inceleme kuyruğuna yalnızca personel kullanıcıların erişebilmesini sağlayarak saldırı yüzeyini ortadan kaldırır.