CVE-2026-32143Discourse是一款广泛使用的开源讨论平台。在特定受影响版本中，系统存在一个严重的权限绕过漏洞。该漏洞允许拥有较低权限的版主导出本应严格限制仅管理员可见的报告CSV数据。由于报告可见性限制被错误地绕过，这导致了大量原本仅限管理员查看的敏感操作数据面临泄露风险。此漏洞攻击复杂度低，无需用户交互即可实施，对系统的机密性构成了直接威胁。
该漏洞的根本原因在于Discourse后端对于CSV报表导出接口的访问控制检查存在逻辑缺陷。在受影响版本的代码逻辑中，当用户请求导出特定报表时，系统虽然验证了用户身份，但未能充分结合报表的敏感级别进行二次权限校验。原本设计上，某些包含系统内部运营指标或用户隐私的报表仅对管理员角色开放。然而，由于权限判定模块的漏洞，版主角色的用户可以通过直接调用导出API（例如发送GET请求至特定报表的CSV生成端点）来绕过前端界面的隐藏限制。服务器在处理请求时，错误地认为版主具备访问权限，从而执行数据库查询并将结果打包为CSV文件返回给攻击者。这种垂直越权使得低权限用户能够窃取高权限数据，且整个过程在服务器日志中可能看似合法操作，难以被常规安全审计发现。