Pmusaraj

**Name of the Vulnerable Software and Affected Versions** Discourse versions prior to 2026.3.0-latest.1 Discourse versions prior to 2026.2.1 Discourse versions prior to 2026.1.2 **Description** Discourse is an open-source discussion platform. Prior to versions 2026.3.0-latest.1, 2026.2.1, and 2026.1.2, moderators could view the initial 40 characters of post edits within private messages and private categories. **Recommendations** Update Discourse to version 2026.3.0-latest.1 or later. Update Discourse to version 2026.2.1 or later. Update Discourse to version 2026.1.2 or later.

**Name of the Vulnerable Software and Affected Versions** Discourse versions prior to 2026.3.0-latest.1 Discourse versions prior to 2026.2.1 Discourse versions prior to 2026.1.2 **Description** Discourse is an open-source discussion platform. The Post Edits admin report, accessible via the ''/admin/reports/post edits'' API endpoint, improperly exposed the initial 40 characters of raw post content from private messages and secure categories to moderators lacking the necessary permissions. This information leak affected content that should have remained confidential. **Recommendations** Update to Discourse version 2026.3.0-latest.1 or later. Update to Discourse version 2026.2.1 or later. Update to Discourse version 2026.1.2 or later.

**Name of the Vulnerable Software and Affected Versions** Discourse versions 3.5.0.beta4 before commit 82d84af6b0efbd9fa2aeec3e91ce7be1a768511b **Description** A data leak issue affects Discourse, an open-source community platform, allowing some content on the site's homepage to be visible to unauthenticated users on login-required sites. The issue affects sites deployed between April 30, 2025, noon EDT, and May 2, 2025, noon EDT. Private content on an instance's homepage could be visible to unauthenticated users. Sites on the stable branch are unaffected. **Recommendations** For Discourse versions 3.5.0.beta4 before commit 82d84af6b0efbd9fa2aeec3e91ce7be1a768511b, upgrade to a non-vulnerable version of Discourse to resolve the issue. No workarounds are available, and sites must be upgraded to a secure version to prevent the data leak.

**Nome do software vulnerável e versões afetadas** Versões do Discourse anteriores à versão mais recente **Descrição** O Discourse é uma plataforma de código aberto para discussões em comunidade. Os usuários que clicarem nas miniaturas do lightbox podem ser afetados. O problema foi resolvido na versão mais recente do Discourse. **Recomendações** Atualize para a versão mais recente do Discourse para resolver o problema. Como solução temporária, considere evitar o uso de miniaturas em lightbox até que a atualização seja aplicada.

Nome do software vulnerável e versões afetadas: Versões do Discourse anteriores à versão mais recente Descrição: O problema afeta sites que utilizam o Discourse Connect com logins locais habilitados, permitindo potencialmente que invasores contornem o Discourse Connect e criem contas ou façam login. Esse problema foi corrigido na versão mais recente do Discourse. Recomendações: Para versões anteriores à versão mais recente, como solução temporária, considere desativar todos os outros métodos de login, exceto o Discourse Connect, para minimizar o risco de exploração. Atualize para a versão mais recente do Discourse para resolver totalmente o problema.

**Nome do software vulnerável e versões afetadas** Versões do plugin Discourse Calendar anteriores à 0.5 **Descrição** O plugin Discourse Calendar está suscetível a ataques XSS ao renderizar nomes de eventos. Esse problema afeta apenas sites que modificaram ou desativaram a Política de Segurança de Conteúdo (CSP) padrão do Discourse. **Recomendações** Para versões anteriores à 0.5, atualize para a versão 0.5 do plugin Discourse Calendar para resolver o problema. Como solução temporária, considere restringir a exibição de nomes de eventos ou reativar a Política de Segurança de Conteúdo padrão do Discourse até que o patch possa ser aplicado.

**Nome do software vulnerável e versões afetadas** discourse-calendar (versões afetadas não especificadas) **Descrição** O plugin discourse-calendar possui um limite de comprimento para valores de região que é excessivamente generoso, permitindo que um agente mal-intencionado faça com que uma instância do Discourse consuma largura de banda e espaço em disco em excesso. Esta falha já foi corrigida no ramo principal. **Recomendações** Atualize o plugin discourse-calendar o mais rápido possível, pois não há soluções alternativas para este problema.

**Nome do software vulnerável e versões afetadas** discourse-group-membership-ip-block (versões afetadas não especificadas) **Descrição** O plugin discourse-group-membership-ip-block envia todos os campos personalizados do grupo para o cliente, incluindo campos de outros plugins que deveriam permanecer confidenciais. Esse problema afeta a funcionalidade do plugin de adicionar usuários a grupos com base em seus endereços IP. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** discourse-calendar (affected versions not specified) **Description** The discourse-calendar plugin for the Discourse messaging platform is affected by an issue where improper escaping of event titles could lead to Cross-site Scripting (XSS) within the 'email preview' UI when a site has CSP disabled. This is a non-default configuration, so the vast majority of sites are unaffected. **Recommendations** To resolve the issue, users are advised to upgrade to the latest version of the discourse-calendar plugin. If an upgrade is not possible, users should ensure CSP is enabled on the forum as a temporary workaround.

**Name of the Vulnerable Software and Affected Versions** Discourse-jira (affected versions not specified) **Description** The issue is related to the implementation of the Discourse-jira plugin, which allows for the synchronization of Jira projects, issue types, fields, and field options. An administrator user can perform a Server-Side Request Forgery (SSRF) attack by setting the Jira URL to an arbitrary location and enabling the `discourse jira verbose log` site setting. A moderator user could manipulate the request path to the Jira API, allowing them to perform arbitrary GET requests using the Jira API credentials, potentially with elevated permissions. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Discourse versions prior to the latest stable, beta and tests-passed versions **Description** The issue allows exploitation of embeddable comments to create new topics as any user without a clear title or content. **Recommendations** For versions prior to the latest stable, beta and tests-passed versions, update to the latest version to resolve the issue. As a temporary workaround, consider disabling embeddable comments by deleting all embeddable hosts.

**Name of the Vulnerable Software and Affected Versions** Discourse versions prior to 3.0.1 on the stable branch Discourse versions prior to 3.1.0.beta2 on the beta and tests-passed branches **Description** The issue affects Discourse, an open-source discussion platform, where someone can use the `exclude tag` param to filter out topics and deduce which ones were using a specific hidden tag. This affects any Discourse site using hidden tags in public categories. **Recommendations** For versions prior to 3.0.1 on the stable branch, update to version 3.0.1 or later. For versions prior to 3.1.0.beta2 on the beta and tests-passed branches, update to version 3.1.0.beta2 or later. As a temporary workaround, consider securing any categories that are using hidden tags, changing any existing hidden tags to not include private data, or removing any hidden tags currently in use.

**Name of the Vulnerable Software and Affected Versions** Discourse versions prior to 3.0.1 on the stable branch Discourse versions prior to 3.1.0.beta2 on the beta and tests-passed branches **Description** Discourse is an open-source discussion platform. The contents of latest/top routes for restricted tags can be accessed by unauthorized users. This issue is patched in version 3.0.1 on the stable branch and 3.1.0.beta2 on the beta and tests-passed branches. **Recommendations** For Discourse versions prior to 3.0.1 on the stable branch, update to version 3.0.1 or later. For Discourse versions prior to 3.1.0.beta2 on the beta and tests-passed branches, update to version 3.1.0.beta2 or later.

**Name of the Vulnerable Software and Affected Versions** Discourse versions prior to 3.1.0.beta1 **Description** Discourse is an open source platform for community discussion. The issue concerns the allocation of resources without limits, allowing users to create chat drafts of an unlimited length. This can cause a denial of service by generating an excessive load on the server. Additionally, an unlimited number of drafts were loaded when loading the user. **Recommendations** For versions prior to 3.1.0.beta1, upgrade to the latest version where a limit has been introduced to prevent the allocation of resources without limits. At the moment, there is no information about other workarounds for this issue.

**Name of the Vulnerable Software and Affected Versions** Discourse versions prior to 3.0.1 Discourse version 3.1.0.beta2 and earlier **Description** Discourse is an open source platform for community discussion. The issue is related to Allocation of Resources Without Limits or Throttling, where a malicious user can create an arbitrarily large draft, forcing the instance to a crawl, as there is no limit on data contained in a draft. **Recommendations** For versions prior to 3.0.1, update to version 3.0.1 or later. For version 3.1.0.beta2 and earlier, update to version 3.1.0.beta2 or later. As a temporary workaround, consider restricting the ability to create large drafts until a patch is applied.

**Nome do software vulnerável e versões afetadas** Versões do Discourse-Chat anteriores à 0.9 **Descrição** O problema afeta os usuários do Discourse Chat, um plugin de mensagens assíncronas para a plataforma de discussão de código aberto Discourse. Os usuários administradores podem inserir HTML nos títulos e descrições do chat, causando um ataque de Cross-Site Scripting (XSS). **Recomendações** Para versões anteriores à 0.9, atualize para a versão 0.9 para resolver o problema. Como solução temporária, considere restringir a capacidade dos usuários administradores de inserir HTML nos títulos e descrições do chat até que o patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Discourse Assign anteriores à 1.0.1 **Descrição** O UserBookmarkSerializer no Discourse Assign serializava o objeto User / Group na íntegra, o que causava o vazamento de algumas informações privadas. Esses dados eram acessíveis apenas a pessoas com permissão para visualizar informações de atribuição, o que, por padrão, era restrito à equipe; no entanto, em sites com recursos de atribuição habilitados publicamente, os dados ficavam acessíveis a mais pessoas além da equipe. **Recomendações** Para versões anteriores à 1.0.1, atualize para a versão 1.0.1 para resolver o problema. Como solução temporária, considere restringir o acesso às informações de atribuição para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Discourse anteriores às versões estáveis, beta e com testes aprovados mais recentes **Descrição** A vulnerabilidade afeta o Discourse, uma plataforma de código aberto para discussões em comunidade. Um invasor pode corromper o cache de usuários anônimos, fazendo com que eles vejam a visualização do rastreador do site em vez da página HTML, o que leva a uma negação de serviço parcial. **Recomendações** Atualize para a versão estável, beta ou aprovada em testes mais recente do Discourse para resolver o problema. Como solução temporária, considere restringir o acesso a usuários anônimos ou implementar controles adicionais de cache até que um patch seja aplicado.