JVNDB-2026-005782

Discourseにおける複数の脆弱性

Discourseはオープンソースのディスカッションプラットフォームです。2025年12月2日、2026年1月1日、および2026年2月0より前のバージョンには、`ReviewableNotesController`にIDOR（不適切な直接オブジェクト参照）の脆弱性が存在します。`enable_category_group_moderation`が有効になっている場合、カテゴリーモデレーショングループに所属するユーザーは、自分がモデレートしていないカテゴリを含むシステム内の**任意の**レビュー可能なアイテムに対して、自分自身のノートを作成または削除できます。このコントローラーはスコープ指定されていない`Reviewable.find`を使用しており、`ensure_can_see`ガードはユーザーが一般的にレビューキューにアクセスできるかどうかのみをチェックし、特定のレビュー可能アイテムにアクセスできるかどうかはチェックしていません。`enable_category_group_moderation`が有効なインスタンスのみが影響を受けます。スタッフユーザー（管理者またはモデレーター）はすでにすべてのレビュー可能なアイテムにアクセスできるため影響を受けません。この問題は、`Reviewable.viewable_by(current_user)`を通じてレビュー可能アイテムの検索をスコープ指定することで2025年12月2日、2026年1月1日、および2026年2月0のバージョンで修正されました。回避策としては、`enable_category_group_moderation`サイト設定を無効にすることが有効です。これにより、攻撃対象がスタッフユーザーのみに限定され、レビューキューへのアクセス制御が強化されます。

Discourse

• Discourse 2025.12.0 未満
• Discourse 2026.1.0 以上 2026.1.1 未満
• Discourse 2026.2.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Scope reviewable notes to user-visible reviewables  Advisory  discourse/discourse  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [NVD評価]
2. 不正な認証(CWE-863) [その他]

1. CVE-2026-26973

1. National Vulnerability Database (NVD) : CVE-2026-26973

• [2026年03月04日]
    掲載