CVE-2026-33428Discourse是一个广泛使用的开源讨论平台。在受影响的版本中，存在一个安全漏洞，允许非员工用户但在特定提升组中的成员，访问系统中任何用户的已删除帖子。该问题的根本原因是已删除帖子索引端点上的授权检查过于宽泛，未能严格限制访问权限，导致敏感数据泄露。
该漏洞源于Discourse对已删除帖子索引端点的访问控制逻辑缺陷。正常情况下，系统应严格限制对已删除内容的访问，通常仅保留给管理员或具有员工权限的用户。然而，在受影响的版本中，服务器端的验证逻辑仅检查用户是否属于具有某些高级权限的组，而未确认用户是否具备“员工”身份。攻击者一旦获得该特定组的成员资格，即可通过发送特制的HTTP请求到受影响的端点。由于授权检查存在疏漏，系统会错误地授权请求，返回数据库中所有已删除帖子的索引数据。这使得攻击者能够检索本应被彻底清除或仅对极少数人可见的信息，造成了严重的信息泄露风险。