Plataforma
discourse
Componente
discourse
Corregido en
2026.3.1
2026.2.1
2026.1.1
CVE-2026-30888 es una vulnerabilidad de escalada de privilegios presente en Discourse, una plataforma de discusión de código abierto. Esta falla permite a los moderadores, a pesar de las restricciones, modificar documentos críticos de política del sitio, como los términos de servicio, las directrices de la comunidad y la política de privacidad. La vulnerabilidad afecta a versiones anteriores a 2026.3.0-latest.1, 2026.2.1 y 2026.1.2, y ha sido solucionada en estas versiones.
La explotación de esta vulnerabilidad permite a los moderadores de Discourse eludir las restricciones de acceso y modificar documentos de política del sitio. Esto podría resultar en la alteración de las reglas de la comunidad, la manipulación de la política de privacidad o la modificación de los términos de servicio, lo que podría tener consecuencias legales y de reputación para la organización que utiliza Discourse. Un moderador malintencionado podría, por ejemplo, insertar cláusulas ocultas en los términos de servicio o cambiar las directrices de la comunidad para favorecer sus propios intereses. Aunque el CVSS es bajo, el impacto potencial en la integridad de la información y la confianza de los usuarios es significativo.
La vulnerabilidad fue publicada el 20 de marzo de 2026. No se ha reportado explotación activa en campañas conocidas. No se ha añadido a la lista KEV de CISA. La disponibilidad de un proof-of-concept público es desconocida, pero la naturaleza de la vulnerabilidad (escalada de privilegios) sugiere que podría ser relativamente fácil de explotar una vez que se comprenden los mecanismos internos de Discourse.
Organizations and communities using Discourse for their online forums or discussion platforms are at risk. This includes businesses, educational institutions, and non-profit organizations. Specifically, those running older, unpatched Discourse instances are most vulnerable. Administrators who have granted moderator privileges to users without proper oversight should also be concerned.
• discourse: Check Discourse version using discourse-doctor. If the version is vulnerable (≤ 2026.2.0-latest and < 2026.2.1), prioritize upgrading.
• generic web: Monitor Discourse access logs for unusual activity related to policy document modification attempts. Look for POST requests to /admin/site-policy from moderator accounts.
• generic web: Review Discourse database for unauthorized changes to site policy documents. Specifically, examine the site_policy table for unexpected modifications.
disclosure
Estado del Exploit
EPSS
0.03% (9% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2026-30888 es actualizar Discourse a una versión corregida: 2026.3.0-latest.1, 2026.2.1 o 2026.1.2. Dado que no se proporcionan workarounds, la actualización es la única solución viable. Antes de actualizar, se recomienda realizar una copia de seguridad completa de la base de datos de Discourse para poder restaurarla en caso de problemas durante el proceso de actualización. Después de la actualización, confirme que los moderadores ya no pueden editar los documentos de política del sitio a través de pruebas manuales.
Actualice Discourse a la versión 2026.3.0-latest.1, 2026.2.1 o 2026.1.2, o a una versión posterior, para corregir la vulnerabilidad de escalada de privilegios. No existen workarounds conocidos.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-30888 is a vulnerability in Discourse that allows moderators to edit site policy documents they shouldn't be able to, potentially altering terms of service or privacy policies.
You are affected if you are running Discourse versions less than or equal to 2026.2.0-latest or versions before 2026.2.1. Check your version and upgrade if necessary.
Upgrade your Discourse installation to version 2026.3.0-latest.1, 2026.2.1, or 2026.1.2. No workarounds are available.
Currently, there are no publicly known exploits or confirmed active exploitation campaigns for CVE-2026-30888.
Refer to the official Discourse security advisory for details: [https://github.com/discourse/discourse/security/advisories/GHSA-xxxx-xxxx-xxxx](replace with actual advisory link)
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.