PT-2024-21299 · Discourse · Discourse Calendar

0-0Eth0 + 1 · Publicado 2024-02-21 · Atualizado 2025-02-05 · CVE-2024-26145

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Discourse Calendar (versões afetadas não especificadas)

Descrição

A vulnerabilidade permite que usuários não convidados obtenham acesso a eventos privados criando uma solicitação para atualizar sua presença. Isso está relacionado ao recurso de calendário dinâmico na primeira postagem de um tópico no Discourse.

Recomendações

Como solução temporária, considere usar a visibilidade da postagem para limitar o acesso até que uma correção esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2024-26145

GHSA-4HH7-6M34-P2JP

Produtos afetados

Discourse Calendar

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/26xxx/CVE-2024-26145.json · Exploit
• https://github.com/discourse/discourse-calendar/security/advisories/GHSA-4hh7-6m34-p2jp · Aviso do Fabricante
• https://github.com/discourse/discourse-calendar/commit/dfc4fa15f340189f177a1d1ab2cc94ffed3c1190 · Correção
• https://osv.dev/vulnerability/CVE-2024-26145 · Aviso do Fabricante
• https://t.me/cvenotify/110177 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-26145 · Nota de Segurança
• https://twitter.com/CVEnew/status/1760356370342359041 · Publicação no Twitter