🇰🇷 한글 설명
오픈 소스 토론 플랫폼인 Discourse에서 관리자 전용 보고서의 CSV 데이터 내보내기 기능에 보안 결함이 발견되었습니다. 이로 인해 권한이 없는 중재자가 관리자만 접근 가능한 민감한 운영 데이터를 노출시킬 수 있습니다.
💡 쉬운 설명
게시판 관리자 권한을 가진 사람이 원래는 볼 수 없는 관리자 전용 비밀 보고서를 파일로 내려받을 수 있는 문제입니다. 이로 인해 중요한 운영 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.3, 2026.2.0-latest to before 2026.2.2, and 2026.3.0-latest to before 2026.3.0, moderators could export CSV data for admin-restricted reports, bypassing the report visibility restrictions. This could expose sensitive operational data intended only for admins. This issue has been patched in versions 2026.1.3, 2026.2.2, and 2026.3.0.
📍 영향받는 시스템
Discourse 2026.1.0~2026.1.2, 2026.2.0~2026.2.1, 2026.3.0-latest (2026.3.0 미만 버전)
⚔️ 공격 벡터
중재자 권한을 이용한 관리자 제한 보고서의 CSV 데이터 내보내기 기능 악용
🛡️ 대응 방법
Discourse를 최신 패치 버전인 2026.1.3, 2026.2.2 또는 2026.3.0 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 패치된 버전 번호(2026.1.3, 2026.2.2, 2026.3.0 중 하나)가 출력되면 안전합니다.
curl -s http://localhost/version | grep -E '2026.1.3|2026.2.2|2026.3.0'