PT-2025-12890 · Discourse · Discourse
CVE-2025-24808
·
Publicado
2025-03-26
·
Atualizado
2025-08-26
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Discourse anteriores à 3.3.4 no branch stable e anteriores à 3.4.0.beta5 no branch beta
Descrição
A falha afeta uma plataforma de discussão de código aberto, onde uma condição de corrida permite que um usuário prestes a atingir o limite de usuários em uma mensagem direta (DM) em grupo envie solicitações paralelas para adicionar novos usuários, potencialmente burlando o limite. Isso ocorre devido à falta de sincronização adequada. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi informado. Não há informações sobre incidentes reais onde esta falha foi explorada. Os detalhes técnicos da falha envolvem o serviço
add users to channel, que é vulnerável a uma condição de corrida. A correção envolve o uso de um lock/mutex distribuído para encapsular parte deste serviço.Recomendações
Para versões anteriores à 3.3.4 no branch stable, atualize para a versão 3.3.4 ou posterior.
Para versões anteriores à 3.4.0.beta5 no branch beta, atualize para a versão 3.4.0.beta5 ou posterior.
Como medida temporária de contorno, considere restringir a capacidade de enviar solicitações paralelas para adicionar novos usuários a uma mensagem direta (DM) em grupo até que uma correção seja aplicada.
Exploit
Correção
Race Condition
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Discourse