Discourseはオープンソースのディスカッションプラットフォームです。バージョン3.5.4、2025.11.2、2025.12.1、および2026.1.0より前のバージョンでは、管理者以外のモデレーターが、本来管理者のみに制限されるべきスタッフアクションログ内の機密情報を閲覧できました。暴露された情報には、WebhookのペイロードURLやシークレット、APIキーの詳細、サイト設定の変更内容、プライベートメッセージの内容、制限されたカテゴリー名や構造、プライベートチャットチャンネルのタイトルが含まれます。これにより、モデレーターは意図されたアクセス制御を回避し、スタッフアクションログを監視することで機密データを取得できました。漏洩したWebhookシークレットを用いることで、攻撃者は統合サービスに対してWebhookイベントを偽装する可能性があります。この問題は、バージョン3.5.4、2025.11.2、2025.12.1、および2026.1.0で修正されています。回避策として、サイト管理者はモデレーターの任命を完全に信頼されたユーザーに限定することを検討するべきです。このアクセスを防ぐための設定ベースの回避策は存在しません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。