Davidtaylorhq

**Nome do Software Vulnerável e Versões Afetadas** Discourse versões anteriores a 2026.1.4 Discourse versões anteriores a 2026.3.1 Discourse versões anteriores a 2026.4.1 Discourse versões anteriores a 2026.5.0-latest.1 **Descrição** Resumos de IA em cache desatualizados podem vazar conteúdo removido para usuários anônimos e não privilegiados que não possuem permissões para regenerar resumos. **Recomendações** Atualize para a versão 2026.1.4. Atualize para a versão 2026.3.1. Atualize para a versão 2026.4.1. Atualize para a versão 2026.5.0-latest.1. Restrinja a geração de resumos restringindo os grupos permitidos nas Personas de sumarização.

**Nome do Software Vulnerável e Versões Afetadas** Discourse versões anteriores a 2026.1.4 Discourse versões anteriores a 2026.3.1 Discourse versões anteriores a 2026.4.1 Discourse versões anteriores a 2026.5.0-latest.1 **Description** Um usuário autenticado em uma instância com o recurso de modelos de formulário habilitado pode ler o nome e o conteúdo estruturado de modelos de formulário destinados a categorias que ele não tem permissão para acessar. Isso resulta na divulgação de metadados de configuração do site. **Recommendations** Atualizar para a versão 2026.1.4 Atualizar para a versão 2026.3.1 Atualizar para a versão 2026.4.1 Atualizar para a versão 2026.5.0-latest.1

**Nome do Software Vulnerável e Versões Afetadas** Discourse versões anteriores a 2026.1.4 Discourse versões anteriores a 2026.3.1 Discourse versões anteriores a 2026.4.1 Discourse versões anteriores a 2026.5.0-latest.1 **Descrição** Uma falha no plugin discourse-subscriptions permite que usuários obtenham acesso a grupos restritos por assinatura sem concluir o pagamento. **Recomendações** Atualizar para a versão 2026.1.4 Atualizar para a versão 2026.3.1 Atualizar para a versão 2026.4.1 Atualizar para a versão 2026.5.0-latest.1

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 até 2026.1.2, 2026.2.0 até 2026.2.1 e 2026.3.0 Description Discourse, uma plataforma de discussão de código aberto, apresenta uma falha onde campos personalizados do usuário em estágio e nomes de usuário são expostos em páginas de convite públicas sem verificação de e-mail. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 até antes de 2026.1.3 Discourse versões 2026.2.0 até antes de 2026.2.2 Discourse versões 2026.3.0 até antes de 2026.3.0 Description Discourse, uma plataforma de discussão de código aberto, contém uma falha de bypass de autorização. Isso permite que usuários não autenticados ou não autorizados visualizem tags ocultas (somente para funcionários) e dados associados. Todas as instâncias do Discourse com tagging habilitado e grupos de tags somente para funcionários configurados são afetadas. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 através de 2026.1.2, 2026.2.0 através de 2026.2.1, e 2026.3.0 através de 2026.3.0 Description Discourse, uma plataforma de discussão de código aberto, possuía controles de acesso insuficientes em um endpoint de análise de sentimento. Isso permitiu que um usuário autenticado com nível de moderador ignorasse as fronteiras de permissão da categoria e recuperasse o conteúdo das postagens, os títulos dos tópicos e os nomes de usuário de categorias que não tinham permissão para visualizar. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versions 2026.1.0 through 2026.1.2, 2026.2.0 through 2026.2.1, and 2026.3.0 Description The `StaticController`'s `enter` action does not validate the `sso destination url` cookie before redirecting to it with `allow other host: true`. This cookie, normally set during legitimate DiscourseConnect Provider flows, is client-controlled and can be manipulated by attackers. Recommendations Update to Discourse version 2026.1.3 or later. Update to Discourse version 2026.2.2 or later. Update to Discourse version 2026.3.0 or later.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 através de 2026.1.2, 2026.2.0 através de 2026.2.1, e 2026.3.0 através de 2026.3.0 Description O plugin discourse-subscriptions vaza chaves de API `stripe` entre sites em um cluster multissite, potencialmente levando ao vazamento de informações relacionadas ao stripe entre sites dentro do mesmo cluster. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 através de 2026.1.2, 2026.2.0 através de 2026.2.1, e 2026.3.0 através de 2026.2.9 Description Discourse, uma plataforma de discussão de código aberto, apresentava uma falha onde o endpoint de teste das configurações de e-mail do grupo poderia ser explorado para fazer com que o servidor iniciasse conexões de saída para hosts e portas arbitrários. Isso poderia potencialmente permitir a sondagem da infraestrutura de rede interna. O endpoint era acessível a proprietários de grupo que não eram da equipe. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 através de 2026.1.2, 2026.2.0 através de 2026.2.1, e 2026.3.0 Description Um usuário pode ser capaz de comprar uma assinatura de nível inferior, mas conceder a si mesmo os benefícios de uma assinatura de nível superior. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 através de 2026.1.2, 2026.2.0 através de 2026.2.1, e 2026.3.0 através de 2026.3.0 Description Discourse, uma plataforma de discussão de código aberto, apresentava uma falha onde usuários que não tinham mais acesso a um tópico ainda podiam interagir com enquetes dentro desse tópico, incluindo votar e alterar o status da enquete. Nenhum conteúdo foi exposto, mas os usuários podiam modificar o estado das enquetes em tópicos aos quais não deveriam mais ter acesso. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 através de 2026.1.2, 2026.2.0 através de 2026.2.1, e 2026.3.0 através de 2026.3.0 Description Discourse é uma plataforma de discussão de código aberto. Quando a configuração do site `prioritize full name in ux` está habilitada, os nomes de exibição de usuário e grupo são renderizados sem escape HTML em caminhos de interface do usuário relacionados à atribuição. Isso permite que usuários com permissão de atribuição injetem HTML/JavaScript arbitrário que é executado no navegador de qualquer usuário que visualize um tópico afetado. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 através de 2026.1.2 Discourse versões 2026.2.0 através de 2026.2.1 Discourse versões 2026.3.0 através de 2026.2.9 Description Discourse, uma plataforma de discussão de código aberto, apresentava uma falha onde usuários que não eram da equipe podiam visualizar informações de recibo de leitura para posts exclusivos da equipe. O problema não expôs o conteúdo da postagem, mas revelou metadados sobre quem leu a postagem e quando. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 através de 2026.1.2, 2026.2.0 através de 2026.2.1, e 2026.3.0 através de 2026.3.0 Description Uma falha existe na ação 'show' do Category Chatables Controller que permite aos moderadores ignorar as restrições de autorização e acessar informações sobre nomes de grupos ocultos e contagem de usuários. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 através de 2026.1.2, 2026.2.0 através de 2026.2.1, e 2026.3.0 através de 2026.3.0 Description Discourse, uma plataforma de discussão de código aberto, permitia que moderadores exportassem dados CSV para relatórios restritos a administradores, contornando as restrições de visibilidade de relatórios pretendidas. Isso poderia levar à divulgação de dados operacionais confidenciais. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 até 2026.1.2, 2026.2.0 até 2026.2.1 e 2026.3.0 até 2026.3.0. Description Discourse, uma plataforma de discussão de código aberto, é afetado por uma falha que permite a um invasor que pode criar conversas de IA compartilhadas injetar HTML e JavaScript arbitrários por meio de títulos de conversas criados. Este código injetado é executado no navegador dos usuários que visualizam a pré-visualização do onebox, o que pode levar ao sequestro de sessão ou ações não autorizadas. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versões 2026.1.0 através de 2026.1.2, 2026.2.0 através de 2026.2.1, e 2026.3.0 através de 2026.2.9 Description Discourse, uma plataforma de discussão de código aberto, apresentava uma falha onde moderadores de grupos de categorias podiam executar ações privilegiadas em tópicos dentro de categorias privadas que não estavam autorizados a visualizar. Isso permitia ações não autorizadas em áreas restritas da plataforma. Recommendations Atualize para a versão 2026.1.3 ou posterior do Discourse. Atualize para a versão 2026.2.2 ou posterior do Discourse. Atualize para a versão 2026.3.0 ou posterior do Discourse.

Name of the Vulnerable Software and Affected Versions Discourse versions 2026.1.0 through 2026.1.2, 2026.2.0 through 2026.2.1, and 2026.3.0. Description A flaw exists in Discourse that may allow unauthorized channel membership inference from chat user search. This issue does not require authorization to exploit. Recommendations Update to Discourse version 2026.1.3 or later. Update to Discourse version 2026.2.2 or later. Update to Discourse version 2026.3.0 or later.

Name of the Vulnerable Software and Affected Versions Discourse versions 2026.1.0 through 2026.1.2, 2026.2.0 through 2026.2.1, and 2026.3.0 Description A user with valid credentials can retrieve shared draft topic titles by submitting an inline onebox request with a `category id` parameter that corresponds to the shared drafts category. Recommendations Update to Discourse version 2026.1.3 or later. Update to Discourse version 2026.2.2 or later. Update to Discourse version 2026.3.0 or later.

**Name of the Vulnerable Software and Affected Versions** Discourse versions prior to 2026.3.0-latest.1 Discourse versions prior to 2026.2.1 Discourse versions prior to 2026.1.2 **Description** Discourse is an open-source discussion platform. An unauthenticated attacker can manipulate a legitimate Discourse authorization page to display a domain controlled by the attacker. This can be used to conduct social engineering attacks against users. **Recommendations** Update Discourse to version 2026.3.0-latest.1 or later. Update Discourse to version 2026.2.1 or later. Update Discourse to version 2026.1.2 or later.