| Title | Discourseにおける情報漏えいに関する脆弱性 |
|---|---|
| Summary | Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.0-latestから2026.1.4未満、2026.3.0-latestから2026.3.1未満、および2026.4.0-latestから2026.4.1未満の間、パブリックカテゴリーのチャネルに対するチャットイベントが権限の範囲設定なしにMessageBusに公開されていました。そのため、チャット機能が有効でないMessageBusの購読者もリアルタイムでチャットメッセージのペイロードを受信できる可能性がありました。この問題はバージョン2026.1.4、2026.3.1、2026.4.1、および2026.5.0-latest.1で修正されています。 |
| Possible impacts | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | June 12, 2026, midnight |
| Registration Date | June 22, 2026, 11:36 a.m. |
| Last Update | June 22, 2026, 11:36 a.m. |
| CVSS3.0 : 重要 | |
| Score | 7.5 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Discourse |
| Discourse 2026.1.0 以上 2026.1.4 未満 |
| Discourse 2026.1.0 未満 |
| Discourse 2026.3.0 以上 2026.3.1 未満 |
| Discourse 2026.4.0 以上 2026.4.1 未満 |
| Discourse 2026.5.0 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年06月22日] 掲載 |
June 22, 2026, 11:36 a.m. |
| Summary | Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.4, 2026.3.0-latest to before 2026.3.1, and 2026.4.0-latest to before 2026.4.1, chat events for public category channels are published to MessageBus without permission scoping, so any MessageBus subscriber without chat enabled could receive chat message payloads in real time. This issue has been patched in versions 2026.1.4, 2026.3.1, 2026.4.1, and 2026.5.0-latest.1. |
|---|---|
| Publication Date | June 13, 2026, 6:16 a.m. |
| Registration Date | June 14, 2026, 4:11 a.m. |
| Last Update | June 16, 2026, 5:58 a.m. |