Élevée CVSS 7.5
CVE-2026-49256
Discourse is an open-source discussion platform. Prior to 2026.6.0, 2026.5.1, 2026.4.2, and 2026.1.5, restricted tag and tag-group names attached to publicly readable categories as allowed_tags, allowed_tag_groups, or required tag groups could leak to anonymous and unauthorized users through category and group endpoints. This issue is fixed in versions 2026.6.0, 2026.5.1, 2026.4.2, and 2026.1.5.
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau, sans authentification et sans action de la victime.
- Impact
- Un attaquant peut lire des données sensibles.
- Faiblesse
- L’application révèle des informations qu’un utilisateur non autorisé ne devrait pas voir.
- Probabilité
- Le score EPSS reste bas : rien n’annonce une exploitation imminente, ce qui ne dispense pas de corriger.
À faireÀ intégrer au prochain cycle de correctifs. Commencer par les instances exposées à Internet.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.