CVE-2021-41082highCWE-200

CVE-2021-41082: falha de alta gravidade em discourse

Private message title and participating users leaked in discourse

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar discourse

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 1.8%
Em resumo

Uma falha no Discourse expôs os títulos e nomes dos participantes de mensagens privadas que incluíam grupos para usuários não autorizados, embora o conteúdo das mensagens tenha permanecido protegido. Isso vazou informações sensíveis sobre quem estava se comunicando e sobre o que.

Detalhe técnico

Vulnerabilidade de divulgação de informações no sistema de mensagens privadas em grupos do Discourse, onde metadados (título e lista de participantes) foram inadvertidamente expostos nas caixas de entrada dos usuários apesar dos controles de acesso ao conteúdo das mensagens estarem intactos. O problema afetou versões com um commit específico que expôs metadados de PMs de grupo antes de ser revertido em 32 minutos; usuários devem atualizar para versões corrigidas ou o branch tests-passed mais recente.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Discourse is a platform for community discussion. In affected versions any private message that includes a group had its title and participating user exposed to users that do not have access to the private messages. However, access control for the private messages was not compromised as users were not able to view the posts in the leaked private message despite seeing it in their inbox. The problematic commit was reverted around 32 minutes after it was made. Users are encouraged to upgrade to the latest commit if they are running Discourse against the `tests-passed` branch.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
discourse · discourse
CVEs relacionadas — discourse

No mesmo produto, das mais perigosas para as menos.

CVE-2024-53991HIGHPotential Backup file leaked via Nginx in DiscourseEPSS 29.9%CVE-2021-41163CRITICALRCE via malicious SNS subscription payloadEPSS 19.8%CVE-2023-45131HIGHUnauthenticated access to new private chat messages in DiscourseEPSS 4.0%CVE-2026-28227LOWDiscourse Vulnerable to Unauthorized Topic Creation in Staff-Only Categories via Topic Timer publish_to_categoryEPSS 3.2%CVE-2022-36066CRITICALDiscourse vulnerable to RCE via admins uploading maliciously zipped fileEPSS 2.1%CVE-2024-47773HIGHAnonymous cache poisoning via XHR requests in DiscourseEPSS 1.8%