JVNDB-2026-005789

Discourseにおける認証の欠如に関する脆弱性

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2025.12.2、2026.1.1、および2026.2.0より前の`discourse-policy`プラグインにおいて、認証済みの任意のユーザーが閲覧権限のない投稿のポリシーに対して操作を行うことが可能でした。`PolicyController`は現在のユーザーのアクセス権を検証せずにIDで投稿を読み込むため、ポリシーグループのメンバーは閲覧できない非公開カテゴリーや個人メッセージの投稿に対してポリシーの承認または非承認を行うことができ、認証済みユーザーは異なるエラーレスポンスを通じてポリシーが付与された投稿IDを列挙できる（情報漏洩）問題がありました。この問題は、バージョン2025.12.2、2026.1.1、および2026.2.0で、`set_post`のbefore_actionに`guardian.can_see?(@post)`チェックを追加し、ポリシーアクション実行前に投稿の可視性を検証することで修正されています。回避策として、discourse-policyプラグインを無効化する（`policy_enabled = false`）ことで脆弱性を排除できますが、それ以外の回避策はアップグレードなしにはありません。

Discourse

• Discourse 2025.12.0 未満
• Discourse 2026.1.0 以上 2026.1.1 未満
• Discourse 2026.2.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Lack of post access check in discourse-policy  Advisory  discourse/discourse  GitHub

1. 認証の欠如(CWE-862) [その他]

1. CVE-2026-26207

1. National Vulnerability Database (NVD) : CVE-2026-26207

• [2026年03月04日]
    掲載