VULNERABILIDAD
CVE-2026-57447 Filtración de títulos de temas privados en el índice de Doc Categories de Discourse
Antes de la corrección verificada, la actualización del índice de categorías de documentación de Doc Categories resuelve títulos vinculados de mensajes privados o temas de categorías restringidas sin aplicar la autorización del visor. Un usuario que puede editar el tema del índice puede aprovechar este comportamiento para conocer títulos que no está autorizado a ver, aunque el aviso no establece acceso al contenido de los temas. Se corrige con el commit b15d4de02ad29d7c9525346afee51fef4a2c605a.
Alerta de Nureq Monitor
Detectada 16 OCT · 13:34
CVSS 3.1
4.3MEDIAPROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,2 % PERCENTIL 7
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-57447
Antes de la corrección verificada, la actualización del índice de categorías de documentación de Doc Categories resuelve títulos vinculados de mensajes privados o temas de categorías restringidas sin aplicar la autorización del visor. Un usuario que puede editar el tema del índice puede aprovechar este comportamiento para conocer títulos que no está autorizado a ver, aunque el aviso no establece acceso al contenido de los temas. Se corrige con el commit b15d4de02ad29d7c9525346afee51fef4a2c605a.
Productos y versiones afectadas
discourse discourse-doc-categories
Qué hacer
- Verificá si usás discourse-doc-categories y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Baja
- INTEGRIDAD (I)
- Ninguna
- DISPONIBILIDAD (A)
- Ninguna
Abrir la calculadora completa →
Descripción original
Discourse Doc Categories is a plugin for organizing Discourse topics as documentation. Prior to the verified source fix, the doc category index refresh resolves linked titles for private messages or restricted category topics without enforcing the viewer's authorization. A user who can edit the index topic can use this behavior to learn titles that the user is not authorized to view, although the advisory does not establish access to topic contents. This vulnerability is addressed by commit b15d4de02ad29d7c9525346afee51fef4a2c605a.
Referencias
- github.com/discourse/discourse-doc-categories/security/advisories/GHSA-x63p-48vw-8r64X_REFSOURCE_CONFIRM
- github.com/discourse/discourse-doc-categories/commit/b15d4de02ad29d7c9525346afee51fef4a2c…X_REFSOURCE_MISC
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.