CVE-2022-21684
User can bypass approval when invited to Discourse
En resumen
Un usuario invitado por correo electrónico a un foro Discourse con aprobación obligatoria puede iniciar sesión automáticamente sin ser aprobado, obteniendo acceso temporal. Después de cerrar sesión, no puede volver a entrar hasta ser aprobado.
Detalle técnico
Omisión de autenticación en Discourse anteriores a versión 2.7.13 donde usuarios invitados por correo inician sesión automáticamente incluso con `must_approve_users` activado. La vulnerabilidad permite acceso a funcionalidades autenticadas hasta el cierre de sesión. Requiere que el mecanismo de invitación por correo esté habilitado y que el foro tenga aprobación obligatoria de usuarios configurada.
Resumen generado y traducido por IA a partir de la descripción oficial.
Discourse is an open source discussion platform. Versions prior to 2.7.13 in `stable`, 2.8.0.beta11 in `beta`, and 2.8.0.beta11 in `tests-passed` allow some users to log in to a community before they should be able to do so. A user invited via email to a forum with `must_approve_users` enabled is going to be automatically logged in, bypassing the check that does not allow unapproved users to sign in. They will be able to do everything an approved user can do. If they logout, they cannot log back in. This issue is patched in the `stable` version 2.7.13, `beta` version 2.8.0.beta11, and `tests-passed` version 2.8.0.beta11. One may disable invites as a workaround. Administrators can increase `min_trust_level_to_allow_invite` to reduce the attack surface to more trusted users.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Productos afectados
discourse · discourse¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →