CVE-2026-44784
Açıklama
Discourse açık kaynaklı bir tartışma platformudur. 2026.1.0-latest ile 2026.1.4 öncesi, 2026.3.0-latest ile 2026.3.1 öncesi ve 2026.4.0-latest ile 2026.4.1 öncesi sürümlerde; yönetici veya moderatör olması gerekmeyen grup sahipleri, grup geçmiş günlüğü (/groups/:name/logs.json) üzerinden bir grubun giden e-posta/SMTP kimlik bilgilerini düz metin olarak görüntüleyebilir. Etkilenen alanlar: email_password, email_username, smtp_server, smtp_port, smtp_ssl_mode. En hassas öğe olan SMTP şifresi, bir sahip tarafından Discourse dışından grup adına e-posta göndermek için kullanılabilir. Bu durum, grup başına SMTP kimlik bilgileri yapılandırmış ve grup sahipliğini bu kimlik bilgilerine erişimi olmaması gereken kullanıcılara vermiş siteleri etkilemektedir. Bu sorun 2026.1.4, 2026.3.1, 2026.4.1 ve 2026.5.0-latest.1 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- discourse discourse2026.1.0, 2026.1.4, 2026.3.1, 2026.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| discourse discourse | v < 2026.1.0, 2026.1.0 ≤ v < 2026.1.4, 2026.3.0 ≤ v < 2026.3.1, 2026.4.0 ≤ v < 2026.4.1, 2026.5.0 | 2026.1.0, 2026.1.4, 2026.3.1, 2026.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.