CVE-2026-55103

Discourse ActivityPub, un plugin qui ajoute des fonctionnalités de réseau social décentralisé au logiciel de forum Discourse, contient une faille dans sa manière de traiter les requêtes entrantes. Le logiciel ne vérifie pas correctement si la personne envoyant une requête signée est bien le propriétaire de la publication fédérée qu'elle tente de modifier. Ce problème concerne toutes les versions antérieures au commit 1c8518b.

Un attaquant distant peut exploiter cette faille pour usurper l'identité d'autres utilisateurs, lui permettant ainsi de modifier, supprimer ou répondre à des publications qui ne lui appartiennent pas. Cela compromet l'intégrité du contenu du forum et permet des modifications non autorisées des données fédérées. L'attaque est relativement facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être réalisée via le réseau.