JVNDB-2026-005792

Discourseにおける認証に関する脆弱性

Discourseはオープンソースのディスカッションプラットフォームです。バージョン2025.12.2、2026.1.1、および2026.2.0より前のバージョンでは、`WebhooksController`内のいくつかのWebhookエンドポイント（SendGrid、Mailjet、Mandrill、Postmark、SparkPost）が、トークンが設定されていない場合に有効な認証トークンなしでリクエストを受け入れていました。これにより、認証されていない攻撃者がWebhookペイロードを偽造し、ユーザーのバウンススコアを人工的に上昇させることが可能であり、正当なユーザーのメールが無効化される可能性がありました。Mailpaceのエンドポイントにはトークン検証がまったくありませんでした。バージョン2025.12.2、2026.1.1、および2026.2.0以降では、認証トークンが設定されていない場合、すべてのWebhookエンドポイントが406レスポンスでリクエストを拒否するようになりました。回避策として、サイト設定で全てのメールプロバイダー統合に対してWebhook認証トークンを設定してください（例：`sendgrid_verification_key`、`mailjet_webhook_token`、`postmark_webhook_token`、`sparkpost_webhook_token`）。この修正が適用される前のMailpaceには現在回避策がありません。

Discourse

• Discourse 2025.12.0 未満
• Discourse 2026.1.0 以上 2026.1.1 未満
• Discourse 2026.2.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Ensures webhooks require a token  Advisory  discourse/discourse  GitHub

1. 不適切な認証(CWE-287) [その他]

1. CVE-2026-26077

1. National Vulnerability Database (NVD) : CVE-2026-26077

• [2026年03月04日]
    掲載