JVNDB-2026-005757

Discourseにおける動的に決定されたオブジェクト属性の不適切に制御された変更に関する脆弱性

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2025.12.2、2026.1.1、および2026.2.0より前のバージョンでは、トピック管理ロジックにおける認可チェックの不適切さにより、認証ユーザーが自分のトピックの特権属性を変更できてしまいました。PUTまたはPOSTリクエストの特定のパラメータを操作することで、一般ユーザーがトピックのステータスをサイト全体の通知やバナーに昇格させ、意図された管理上の制限を回避することが可能です。バージョン2025.12.2、2026.1.1、および2026.2.0でこの問題は修正されています。この挙動を防ぐ実用的な回避策はセキュリティパッチの適用以外に存在しません。不正な昇格を懸念する管理者は、修正が適用されるまでサイトバナーやグローバル通知の最近の変更を監査すべきです。

Discourse

• Discourse 2025.12.2 未満
• Discourse 2026.1.0 以上 2026.1.1 未満
• Discourse 2026.2.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Privilege Escalation via Mass Assignment Allows Regular Users to Set Topics as Global Banners  Advisory  discourse/discourse  GitHub

1. 動的に決定されたオブジェクト属性の不適切に制御された変更(CWE-915) [その他]

1. CVE-2026-28219

1. National Vulnerability Database (NVD) : CVE-2026-28219

• [2026年03月04日]
    掲載