平台
discourse
组件
discourse
修复版本
2026.3.1
2026.2.1
2026.1.1
CVE-2026-30888 是 Discourse 论坛中的权限提升漏洞。该漏洞允许版主修改网站策略文件，例如服务条款、指南和隐私政策，即使他们被明确禁止进行此类修改。该漏洞影响 Discourse 论坛版本小于等于 2026.2.0-latest，或小于 2026.2.1。已发布补丁，建议尽快升级。
此漏洞的潜在影响是重大，因为它允许未经授权的修改网站的关键策略文件。攻击者可以利用此漏洞篡改服务条款、指南或隐私政策，从而误导用户、实施恶意条款或损害网站的声誉。攻击者可能还会利用修改后的策略文件来掩盖其他恶意活动，从而逃避检测。由于 Discourse 论坛通常用于社区讨论和信息共享，因此此漏洞可能对大量用户产生影响。
目前没有公开的利用程序 (PoC)。该漏洞已于 2026 年 3 月 20 日公开。CISA 尚未将其添加到 KEV 目录。由于漏洞的 CVSS 评分为低，且缺乏公开的利用程序，因此当前利用风险较低。
Organizations and communities using Discourse for their online forums or discussion platforms are at risk. This includes businesses, educational institutions, and non-profit organizations. Specifically, those running older, unpatched Discourse instances are most vulnerable. Administrators who have granted moderator privileges to users without proper oversight should also be concerned.
• discourse: Check Discourse version using discourse-doctor. If the version is vulnerable (≤ 2026.2.0-latest and < 2026.2.1), prioritize upgrading.
• generic web: Monitor Discourse access logs for unusual activity related to policy document modification attempts. Look for POST requests to /admin/site-policy from moderator accounts.
• generic web: Review Discourse database for unauthorized changes to site policy documents. Specifically, examine the site_policy table for unexpected modifications.
disclosure
漏洞利用状态
EPSS
0.03% (9% 百分位)
CISA SSVC
CVSS 向量
缓解此漏洞的最佳方法是升级到已修复的版本：2026.3.0-latest.1、2026.2.1 或 2026.1.2。如果由于兼容性问题无法立即升级，则目前没有已知的临时解决方案。建议密切监控 Discourse 论坛的活动，并审查任何未经授权的策略文件修改。如果无法升级，请考虑限制版主的权限，以防止他们修改敏感文件。
升级 Discourse 到 2026.3.0-latest.1、2026.2.1 或 2026.1.2 版本或更高版本，以修复权限提升漏洞。目前没有已知的解决方法。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-30888 是 Discourse 论坛中的一个权限提升漏洞，允许版主修改他们被禁止修改的网站策略文件。
如果您运行 Discourse 论坛版本小于等于 2026.2.0-latest，或小于 2026.2.1，则您可能受到此漏洞的影响。
建议升级到已修复的版本：2026.3.0-latest.1、2026.2.1 或 2026.1.2。
目前没有公开的利用程序，但建议尽快修复漏洞以降低风险。
请访问 Discourse 官方安全公告页面以获取更多信息：[https://github.com/discourse/discourse/security/advisories](https://github.com/discourse/discourse/security/advisories)