Tgxworld

**Name of the Vulnerable Software and Affected Versions** Discourse versions 3.5.0 and below **Description** Discourse is a community discussion platform. A flaw exists where malicious meta-commands could be placed within a backup dump and then executed during the restore process. In environments with multiple sites, this could allow an administrator of one site to gain access to data or credentials from other sites. **Recommendations** Update to version 3.5.1 or later.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Discourse 3.5.0 e anteriores **Descrição** O Discourse, uma plataforma de discussão comunitária de código aberto, apresentou um problema no qual usuários autenticados podiam acessar informações sobre tópicos que não estavam autorizados a visualizar. Isso ocorreu através dos endpoints de sugestão de IA para "Título", "Categoria" e "Tags" do tópico. Ao modificar o valor `topic id` nas requisições de API para esses endpoints, os usuários podiam direcionar tópicos restritos específicos. As respostas do modelo de IA, então, divulgavam informações às quais o usuário autenticado não deveria ter acesso. Os endpoints de API afetados são utilizados para sugestões de IA relacionadas a tópicos. **Recomendações** Atualize para a versão 3.5.1 ou posterior. Restrinja o acesso de grupos à funcionalidade de auxiliar de IA através das configurações de site "composer ai helper allowed groups" e "post ai helper allowed groups".

**Name of the Vulnerable Software and Affected Versions** Discourse versions prior to 3.5.1 **Description** Discourse, an open-source community discussion platform, is affected by a cross-site scripting (XSS) issue. The issue stems from how the platform parses and renders chat channel titles and chat thread titles using the quote message functionality with the rich text editor. This allows for the execution of malicious scripts through crafted titles. **Recommendations** Update to version 3.5.1 or later.

Nome do Software Vulnerável e Versões Afetadas: Versões do Discourse anteriores a 3.5.0.beta8 Descrição: O Discourse, uma plataforma de discussão de código aberto, contém uma vulnerabilidade de cross-site scripting (XSS) na string de nome de usuário do banner de boas-vindas para usuários logados. Isso pode afetar o usuário ou um administrador que se passe por ele. Recomendações: Atualize para a versão 3.5.0.beta8 ou superior. Como solução alternativa temporária, os administradores podem alterar o texto do site welcome banner.header.logged in members para remover o placeholder `preferred display name`. Os administradores podem evitar se passar por quaisquer usuários temporariamente.

Nome do Software Vulnerável e Versões Afetadas: Versões do Discourse anteriores a 3.4.6 Versões do Discourse anteriores a 3.5.0.beta8-dev Descrição: O Discourse é uma plataforma de discussão de código aberto onde a visibilidade de posts do tipo `whisper` é controlada via a configuração de site `whispers allowed groups`. Apenas usuários que pertencem a grupos especificados na configuração de site têm permissão para visualizar posts do tipo `whisper`. No entanto, foi descoberto que os usuários podem continuar vendo seus próprios whispers mesmo após perderem a visibilidade de posts do tipo `whisper`. Recomendações: Para versões anteriores a 3.4.6, atualize para a versão 3.4.6 ou posterior. Para versões anteriores a 3.5.0.beta8-dev, atualize para a versão 3.5.0.beta8-dev ou posterior.

Name of the Vulnerable Software and Affected Versions: Discourse versions prior to 3.5.0.beta6 Description: The issue is related to cross-site scripting when the content security policy is not enabled, specifically when using social logins. Recommendations: For versions prior to 3.5.0.beta6, update to version 3.5.0.beta6 to resolve the issue. As a temporary workaround, enable the content security policy.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Discourse anteriores a 3.4.3 Versões do Discourse anteriores a 3.5.0.beta3 **Descrição** O Discourse é uma plataforma de discussão de código aberto. Em versões anteriores a 3.4.3 na branch estável e 3.5.0.beta3 na branch beta, o limite de usuários para uma mensagem direta (DM) pode ser contornado. Isso permite a criação de uma DM com todos os usuários de um site. **Recomendações** Para versões anteriores a 3.4.3, atualize para a versão 3.4.3 ou posterior para resolver o problema. Para versões anteriores a 3.5.0.beta3, atualize para a versão 3.5.0.beta3 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Discourse anteriores ao último commit **Descrição** O Discourse é uma plataforma para discussões comunitárias. Nas versões afetadas, qualquer mensagem privada que incluísse um grupo tinha seu título e os usuários participantes expostos a usuários que não tinham acesso às mensagens privadas. No entanto, o controle de acesso às mensagens privadas não foi comprometido, pois os usuários não conseguiam visualizar as postagens na mensagem privada vazada, apesar de vê-la em sua caixa de entrada. O commit problemático foi revertido cerca de 32 minutos após ter sido feito. **Recomendações** Atualize para o commit mais recente se estiver executando o Discourse na ramificação `tests-passed`.

**Nome do software vulnerável e versões afetadas** Versões do Discourse anteriores à 2.7.8 Versões do Discourse anteriores à 2.8.0.beta4 **Descrição** O problema diz respeito ao processo de verificação por e-mail no Discourse. Ao adicionar um endereço de e-mail adicional a uma conta existente, é gerado um token de e-mail. Se o endereço de e-mail adicional for excluído, o token não utilizado permanece válido e pode ser usado em outros contextos, como a redefinição de uma senha. **Recomendações** Para versões anteriores à 2.7.8, atualize para a versão 2.7.8 ou posterior para resolver o problema. Para versões anteriores à 2.8.0.beta4, atualize para a versão 2.8.0.beta4 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Discourse anteriores à 2.7.8 Versões do Discourse anteriores à 2.8.0.beta5 **Descrição** A falha expõe o estado de leitura de um usuário em relação a um tópico, incluindo o número da última publicação lida e o nível de notificação. **Recomendações** Para versões anteriores à 2.7.8, atualize para a versão 2.7.8 ou posterior. Para versões anteriores à 2.8.0.beta5, atualize para a versão 2.8.0.beta5 ou posterior.