| タイトル | Discourseにおける情報漏えいに関する脆弱性 |
|---|---|
| 概要 | Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.4未満、2026.3.0-latestから2026.3.1未満、および2026.4.0-latestから2026.4.1未満の間、ReviewableQueuedPostSerializerは受信メール経由で届いた投稿に対してpayload["raw_email"]を無条件に含めていました。これにより、カテゴリーのモデレーショングループのメンバーがレビューキューに到達した場合、view_raw_email_allowed_groupsという専用のraw-emailエンドポイントの信頼境界に属していなくても、受信したメールの完全なソース（ヘッダー、送信者トレース、MUA、本文）を閲覧できました。この問題はバージョン2026.1.4、2026.3.1、2026.4.1、および2026.5.0-latest.1で修正されています。 |
| 想定される影響 | ・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月12日0:00 |
| 登録日 | 2026年6月22日11:37 |
| 最終更新日 | 2026年6月22日11:37 |
| CVSS3.0 : 警告 | |
| スコア | 4.3 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
| Discourse |
| Discourse 2026.1.0 以上 2026.1.4 未満 |
| Discourse 2026.1.0 未満 |
| Discourse 2026.3.0 以上 2026.3.1 未満 |
| Discourse 2026.4.0 以上 2026.4.1 未満 |
| Discourse 2026.5.0 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月22日] 掲載 |
2026年6月22日11:37 |
| 概要 | Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.4, 2026.3.0-latest to before 2026.3.1, and 2026.4.0-latest to before 2026.4.1, ReviewableQueuedPostSerializer unconditionally included payload["raw_email"] for posts that arrived via incoming email. Category moderation group members reaching the review queue could therefore read the full inbound email source (headers, sender trace, MUA, body) without being in view_raw_email_allowed_groups — the trust boundary that gates the dedicated raw-email endpoint. This issue has been patched in versions 2026.1.4, 2026.3.1, 2026.4.1, and 2026.5.0-latest.1. |
|---|---|
| 公表日 | 2026年6月13日6:16 |
| 登録日 | 2026年6月14日4:11 |
| 最終更新日 | 2026年6月16日5:58 |