JVNDB-2026-005791

Discourseにおけるユーザ制御の鍵による認証回避に関する脆弱性

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2025.12.2、2026.1.1、および2026.2.0より前のバージョンでは、`patreon_webhook_secret`というサイト設定が空白の場合、攻撃者は空文字列をキーとしてHMAC-MD5を計算することで有効なWebhook署名を偽造できます。リクエストボディは送信者に知られているため、攻撃者は一致する署名を生成して任意のWebhookペイロードを送信可能です。これにより、Patreonの支援データを無許可で作成、変更、削除したり、パトロンからグループへの同期をトリガーしたりできます。本脆弱性はバージョン2025.12.2、2026.1.1、および2026.2.0で修正されています。修正ではWebhookシークレットが設定されていない場合にWebhookリクエストを拒否し、空のキーによる署名偽造を防止します。回避策としては、`patreon_webhook_secret`サイト設定に強力で空でないシークレット値を設定してください。シークレットが空でなければ、攻撃者はシークレットを知らずに有効な署名を偽造できません。

Discourse

• Discourse 2025.12.0 未満
• Discourse 2026.1.0 以上 2026.1.1 未満
• Discourse 2026.2.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Authentication bypass vulnerability in the Patreon plugin webhook endpoint  Advisory  discourse/discourse  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-26078

1. National Vulnerability Database (NVD) : CVE-2026-26078

• [2026年03月04日]
    掲載