PT-2021-23075 · Discourse · Discourse

Tgxworld · Publicado 2021-09-20 · Atualizado 2024-01-31 · CVE-2021-41082

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Discourse anteriores ao último commit

Descrição

O Discourse é uma plataforma para discussões comunitárias. Nas versões afetadas, qualquer mensagem privada que incluísse um grupo tinha seu título e os usuários participantes expostos a usuários que não tinham acesso às mensagens privadas. No entanto, o controle de acesso às mensagens privadas não foi comprometido, pois os usuários não conseguiam visualizar as postagens na mensagem privada vazada, apesar de vê-la em sua caixa de entrada. O commit problemático foi revertido cerca de 32 minutos após ter sido feito.

Recomendações

Atualize para o commit mais recente se estiver executando o Discourse na ramificação tests-passed.

Correção

Incorrect Authorization

Information Disclosure

Enumeração de Fraquezas

CWE-863

CWE-200

Identificadores relacionados

BIT-DISCOURSE-2021-41082

CVE-2021-41082

GHSA-VM3X-W6JM-J9VV

Produtos afetados

Discourse

Referências · 7

• https://github.com/discourse/discourse/commit/ddb458343dc39a7a8c99467dcd809b444514fe2c · Correção
• https://github.com/discourse/discourse/security/advisories/GHSA-vm3x-w6jm-j9vv · Nota
• https://github.com/discourse/discourse/commit/27bad28c530c89acab35a56b945b6a3924280f4b · Correção
• https://t.me/cibsecurity/29164 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-discourse-2021-41082 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-41082 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41082 · Nota de Segurança