PT-2025-2994 · Discourse · Discourse

Taisehub · Publicado 2025-02-04 · Atualizado 2025-09-26 · CVE-2024-53851

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Discourse anteriores às últimas versões estáveis, beta e com testes aprovados

Descrição O problema está relacionado ao endpoint para geração de oneboxes inline para URLs, que não impunha limites no número de URLs aceitas, permitindo que um usuário malicioso cause uma negação de serviço em algumas partes da aplicação. Isso só pode ser explorado por usuários autenticados.

Recomendações Para versões anteriores às últimas versões estáveis, beta e com testes aprovados, atualize para a versão mais recente para resolver o problema. Para usuários incapazes de atualizar, como uma solução temporária, desative a configuração de site enable inline onebox on all domains e remova todas as entradas da configuração de site allowed inline onebox domains.

Exploit

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

BIT-DISCOURSE-2024-53851

CVE-2024-53851

GHSA-49RV-574X-WGPC

Produtos afetados

Discourse

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/53xxx/CVE-2024-53851.json · Exploit
• https://github.com/discourse/discourse/commit/416ec83ae57924d721e6e374f4cda78bd77a4599 · Correção
• https://github.com/discourse/discourse/security/advisories/GHSA-49rv-574x-wgpc · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-53851 · Nota de Segurança
• https://t.me/cveNotify/136547 · Publicação no Telegram
• https://t.me/cvedetector/17247 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1886891653698609662 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-discourse-2024-53851 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-53851 · Aviso do Fabricante