PT-2024-21649 · Discourse · Discourse

Nattsw · Publicado 2024-03-15 · Atualizado 2024-04-01 · CVE-2024-27100

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Discourse anteriores às versões estáveis, beta e aprovadas em testes mais recentes

Descrição

O problema afeta os endpoints para suspender usuários, silenciar usuários e exportar arquivos CSV, que não impõem limites aos tamanhos dos parâmetros que aceitam. Isso pode levar ao consumo excessivo de recursos, tornando uma instância inoperante. Um site pode ser prejudicado por um moderador mal-intencionado no mesmo site ou por um membro da equipe mal-intencionado em outro site no mesmo cluster multisite.

Recomendações

Atualize para a versão estável, beta ou aprovada em testes mais recente do Discourse para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso aos endpoints para suspender usuários, silenciar usuários e exportar arquivos CSV, a fim de minimizar o risco de exploração.

Exploit

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

BIT-DISCOURSE-2024-27100

CVE-2024-27100

GHSA-XQ4V-QG27-GXGC

Produtos afetados

Discourse

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/27xxx/CVE-2024-27100.json · Exploit
• https://github.com/discourse/discourse/commit/8cade1e825e90a66f440e820992d43c6905f4b47 · Correção
• https://github.com/discourse/discourse/security/advisories/GHSA-xq4v-qg27-gxgc · Nota
• https://osv.dev/vulnerability/BIT-discourse-2024-27100 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-27100 · Nota de Segurança
• https://twitter.com/CVEnew/status/1768723309917548772 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-27100 · Aviso do Fabricante