プラットフォーム
discourse
コンポーネント
discourse
修正版
3.4.1
3.4.1
CVE-2025-22601は、Discourseにおけるパス・トラバーサル脆弱性です。この脆弱性を悪用されると、攻撃者は巧妙に細工されたリンクを通じて、ターゲットユーザーのユーザー名を変更させることが可能になります。影響を受けるバージョンはDiscourse 3.4.0.beta3以前です。最新バージョンである3.4.1へのアップグレードで修正されています。
この脆弱性は、攻撃者がターゲットユーザーのユーザー名を変更できる可能性があります。ユーザー名変更は、アカウントの乗っ取りや、コミュニティ内でのなりすましに繋がる可能性があります。攻撃者は、Discourseのactivate-accountルートを悪用し、ユーザーを騙して自身のユーザー名を変更させます。この脆弱性は、Discourseコミュニティの信頼性を損なう可能性があります。
この脆弱性は、2025年2月4日に公開されました。現時点では、公開されているPoCは確認されていませんが、脆弱性の性質上、悪用される可能性は否定できません。CISA KEVリストへの登録状況は不明です。
Discourse installations running versions 3.4.0.beta3 and earlier are at risk. This includes users of self-hosted Discourse instances, as well as those relying on managed hosting providers who have not yet applied the necessary updates. Community forums and online discussion platforms utilizing vulnerable Discourse versions are particularly susceptible.
• ruby / server:
grep -r 'activate-account' /var/www/discourse/*• generic web:
curl -I 'https://your-discourse-instance.com/activate-account?username=../../../../etc/passwd' # Check for unusual responsesdisclosure
エクスプロイト状況
EPSS
0.33% (56% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性に対する最も効果的な対策は、Discourseをバージョン3.4.1にアップグレードすることです。アップグレードが困難な場合は、一時的な回避策として、activate-accountルートへのアクセスを制限するWAFルールを実装することを検討してください。また、ユーザーに対して、不審なリンクをクリックしないよう注意喚起を行うことも重要です。アップグレード後、ユーザー名変更の試行がないかログを監視し、異常があれば対応してください。
Discourseを最新バージョンにアップデートしてください。この脆弱性は最新バージョンで修正されています。既知の回避策はありません。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-22601は、Discourseのバージョン3.4.0.beta3以前に存在する脆弱性で、攻撃者が巧妙に細工されたリンクを通じて、ターゲットユーザーのユーザー名を変更できる可能性があります。
はい、Discourseのバージョンが3.4.0.beta3以前の場合は、この脆弱性の影響を受けます。
Discourseをバージョン3.4.1にアップグレードすることで修正できます。
現時点では、公開されているPoCは確認されていませんが、悪用される可能性は否定できません。
Discourseの公式アドバイザリは、Discourseのウェブサイトで確認できます。