CVE-2026-91156
Discourse es una plataforma de debate de código abierto. Antes de las versiones 2026.9.0, 2026.8.1, 2026.7.3 y 2026.1.9, el cálculo de audiencia de MessageBus podía entregar mensajes de un canal de chat de una categoría con acceso restringido a un usuario autenticado que podía ver la categoría, pero que no tenía permitido usar Chat según las restricciones de grupo del sitio.
Leer descripción completaMostrar menos
La ruta de publicación limitaba los eventos según la visibilidad de la categoría sin aplicar también la elegibilidad para Chat, lo que exponía el contenido de los mensajes en tiempo real y recientes disponibles en el historial de MessageBus. El problema no permite recuperar el historial completo del canal a través de la API de Chat ni permite crear o modificar mensajes. Este problema está corregido en las versiones 2026.9.0, 2026.8.1, 2026.7.3 y 2026.1.9.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 7.5
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.48 %
- Percentil entre todas las CVEs puntuadas
- 40
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1190Exploit Public-Facing Applicationinitial access90 % - Impacto principal
T1213Data from Information Repositoriescollection60 %
Vector AV:N/PR:N/UI:N y descripción: mensajes de canales de chat restringidos se entregan a usuarios sin permiso de Chat, exponiendo contenido en vivo y reciente (C:H).
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-862
Referencias
Mostrar las 5 referencias
- https://github.com/discourse/discourse/commit/046fb7bfd68a5b95e63dda88c3c73877c5cf9d5e
- https://github.com/discourse/discourse/commit/87b31bf60a7827f075634254379a1dcbaba409cb
- https://github.com/discourse/discourse/commit/ba74bb404ab4439f5b1f0204e848d62099db8ae1
- https://github.com/discourse/discourse/commit/cac1f26f275cec3dc1dd51dfdac2b3d1a4ec50f8
- https://github.com/discourse/discourse/security/advisories/GHSA-gh4f-qr62-vx8q
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-91156",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-91156",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "yes"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-14T17:41:47.693023Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security-advisories@github.com",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 7.5,
"attackVector": "NETWORK",
"baseSeverity": "HIGH",
"vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N",
"integrityImpact": "NONE",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "NONE",
"privilegesRequired": "NONE",
"confidentialityImpact": "HIGH"
},
"impactScore": 3.6,
"exploitabilityScore": 3.9
}
]
},
"affected": [
{
"source": "security-advisories@github.com",
"affectedData": [
{
"vendor": "discourse",
"product": "discourse",
"versions": [
{
"status": "affected",
"version": "< 2026.1.9"
},
{
"status": "affected",
"version": ">= 2026.7.0-latest, < 2026.7.3"
},
{
"status": "affected",
"version": ">= 2026.8.0-latest, < 2026.8.1"
},
{
"status": "affected",
"version": ">= 2026.9.0-latest, < 2026.9.0"
}
]
}
]
}
],
"published": "2026-10-14T16:17:56.310",
"references": [
{
"url": "https://github.com/discourse/discourse/commit/046fb7bfd68a5b95e63dda88c3c73877c5cf9d5e",
"source": "security-advisories@github.com"
},
{
"url": "https://github.com/discourse/discourse/commit/87b31bf60a7827f075634254379a1dcbaba409cb",
"source": "security-advisories@github.com"
},
{
"url": "https://github.com/discourse/discourse/commit/ba74bb404ab4439f5b1f0204e848d62099db8ae1",
"source": "security-advisories@github.com"
},
{
"url": "https://github.com/discourse/discourse/commit/cac1f26f275cec3dc1dd51dfdac2b3d1a4ec50f8",
"source": "security-advisories@github.com"
},
{
"url": "https://github.com/discourse/discourse/security/advisories/GHSA-gh4f-qr62-vx8q",
"source": "security-advisories@github.com"
}
],
"vulnStatus": "Deferred",
"weaknesses": [
{
"type": "Secondary",
"source": "security-advisories@github.com",
"description": [
{
"lang": "en",
"value": "CWE-862"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Discourse is an open-source discussion platform. Prior to 2026.9.0, 2026.8.1, 2026.7.3, and 2026.1.9, MessageBus audience calculation could deliver messages from a read-restricted category chat channel to an authenticated user who could view the category but was not allowed to use Chat under the site's group restrictions. The publication path bounded events by category visibility without also enforcing Chat eligibility, exposing live and recent message content available in the MessageBus backlog. The issue does not permit retrieval of the channel's full history through the Chat API and does not permit message creation or modification. This issue is fixed in versions 2026.9.0, 2026.8.1, 2026.7.3, and 2026.1.9."
}
],
"lastModified": "2026-10-14T18:19:33.973",
"sourceIdentifier": "security-advisories@github.com"
}