Discourseはオープンソースのディスカッションプラットフォームです。3.5.4、2025.11.2、2025.12.1、および2026.1.0より前のバージョンでは、あるエンドポイントが認証済みユーザーに対してai_discover_personaへのアクセス制御を回避させ、スタッフ専用カテゴリ、RAGドキュメントセット、または自動化ツールに接続されている可能性のあるペルソナへの継続的なDMアクセスを可能にし、不正なデータ漏えいを引き起こす可能性があります。さらにコントローラーは任意のuser_idも受け付けるため、攻撃者は他のアカウントをなりすまして望ましくないAI会話を代理で発生させることができ、混乱を招いたり悪質なPMトラフィックを生成したりします。この問題はバージョン3.5.4、2025.11.2、2025.12.1、および2026.1.0で修正されています。既知の回避策はありません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。