Heimdall Security Logo

CVE-2026-72724

Vulnérabilité moyenne dans discourse (discourse)

CVSS 4.3 · Moyenne
EPSS 0.6%
discourse•discourse•Versions : >= 2026.7.0-latest, < 2026.7.0, >= 2026.5.0-latest, < 2026.5.2, < 2026.1.6, >= 2026.6.0-latest, < 2026.6.1

Description

Discourse is an open-source discussion platform. Prior to 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.0, plugins/chat/lib/chat/onebox_handler.rb resolves Chat::Thread by route thread_id independently of the route channel_id before checking whether the user can preview the selected chat channel. An authenticated user can pair a public channel ID with a private thread ID in a /onebox.json request and obtain private thread message content. This issue is fixed in versions 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.0.

Gravité et risque d'exploitation

CVE-2026-72724 obtient un score CVSS de 4.3/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.63 %, ce qui la place devant 49.0 % des CVE référencées.

Que faire ?

  • Vérifiez si discourse (versions >= 2026.7.0-latest, < 2026.7.0, >= 2026.5.0-latest, < 2026.5.2, < 2026.1.6, >= 2026.6.0-latest, < 2026.6.1) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE