Уязвимость CVE-2026-91122 в Discourse: утечка закрытых сообщений чата через MessageBus
ЗАГОЛОВОК
Уязвимость CVE-2026-91122 в Discourse: утечка закрытых сообщений чата через MessageBus
===PREVIEW===
В Discourse обнаружена уязвимость CVE-2026-91122 с оценкой CVSS 8.7 (HIGH), из-за которой компонент Chat MessageBus доставлял сообщения с
Подробности
Согласно описанию CVE, уязвимость затрагивает версии Discourse до 2026.1.8, 2026.6.3, 2026.7.2 и 2026.8.0. Суть проблемы заключается в том, что компонент Chat MessageBus, отвечающий за доставку сообщений чата подписчикам, передавал сообщения, доступные только для чтения ограниченному кругу лиц, пользователям, не имеющим соответствующих прав. Иными словами, пользователь, который не должен был видеть содержимое закрытого чата, мог получить эти сообщения через механизм MessageBus. Это нарушает модель разграничения доступа и приводит к раскрытию конфиденциальной переписки. Отдельно в записи CVE упоминается связанная проблема в компоненте video placeholder: до указанных версий специально сформированный HTML позволял вызвать attribute breakout и внедрить обработчик события, контролируемый атакующим. Аутентифицированный пользователь с обычными правами публикации мог сохранить такой placeholder в посте. Когда другой пользователь открывал пост и нажимал на оверлей воспроизведения видео, обработчик мог выполнить произвольный JavaScript в сессии просматривающего. Стандартная политика Content Security Policy (CSP) блокирует встроенные обработчики событий, однако инсталляции с отключённым или ослабленным CSP подвержены риску: скрипт мог читать содержимое страницы и выполнять аутентифицированные запросы от имени пользователя. Обе проблемы устранены в версиях 2026.1.8, 2026.6.3, 2026.7.2 и 2026.8.0.Что делать
В первую очередь необходимо обновить Discourse до одной из исправленных версий: 2026.1.8, 2026.6.3, 2026.7.2 или 2026.8.0. Это единственный надёжный способ закрыть уязвимость. Дополнительно рекомендуется проверить конфигурацию Content Security Policy. Если CSP отключён или ослаблен, следует вернуть строгие настройки — это снижает риск эксплуатации, связанной с внедрением inline-обработчиков событий и выполнением произвольного JavaScript. Также стоит пересмотреть состав участников закрытых чатов и оценить, какие данные могли быть раскрыты до установки обновления, а при необходимости — ограничить доступ к чувствительным обсуждениям. Итог: CVE-2026-91122 — серьёзная уязвимость с высоким приоритетом устранения. Администраторам Discourse следует как можно быстрее обновить платформу до актуальной версии и проверить настройки CSP, чтобы исключить утечку закрытых сообщений и снизить риск выполнения вредоносного кода в сессиях пользователей.Источник: CVE Project (cvelistV5)