Discourseはオープンソースのディスカッションプラットフォームです。バージョン3.5.4、2025.11.2、2025.12.1、および2026.1.0より前のバージョンでは、モデレーターが本来管理者のみがアクセス可能なはずの`top_uploads`管理レポートにアクセスできてしまいます。このレポートには、ユーザーデータのエクスポート、管理者のバックアップ、その他モデレーターがアクセスすべきでないプライベートな添付ファイルを含む、サイト上のすべてのアップロードファイルへの直接URLが表示されます。この問題はバージョン3.5.4、2025.11.2、2025.12.1、および2026.1.0で修正されています。回避策はありません。パッチが適用されるまでは、モデレーター権限を信頼できるユーザーのみに制限してください。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。