CVE-2025-68662: Discourse: bypass de proteção contra SSRF por validação de hostname no FinalDestination

Visão geral

A CVE-2025-68662 afeta o Discourse, uma plataforma de discussão de código aberto. Segundo o registro, um problema de validação de hostname no componente FinalDestination poderia permitir contornar proteções contra falsificação de requisições do lado do servidor (SSRF) em determinadas condições. O registro classifica a fraqueza como CWE-918, Server-Side Request Forgery.

Impacto

O NVD classifica a vulnerabilidade como crítica, com pontuação base CVSS 3.1 de 9.9.
O vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H indica vetor de ataque pela rede, baixa complexidade, privilégios baixos exigidos, nenhuma interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
O registro também traz uma pontuação 7.6 atribuída pelo CNA do GitHub, diferente da pontuação do NVD.
Uma falha de SSRF pode levar o servidor a enviar requisições a destinos que não deveria acessar. Os recursos internos expostos dependem de cada implantação, o que o registro não descreve.

Produtos e versões afetados

Produto: Discourse (Discourse Discourse).
A lista de afetados no registro inclui versões anteriores a 3.5.4, versões de 2025.11.0 até antes de 2025.11.2, a versão 2025.12.0 e a versão 2026.1.0.
A descrição informa que o problema foi corrigido em 3.5.4, 2025.11.2, 2025.12.1 e 2026.1.0. O campo de correções do registro está vazio, então as versões corrigidas vêm apenas da descrição.
A lista de afetados e a descrição divergem quanto à 2026.1.0. Consulte o aviso do fabricante antes de concluir quais builds são vulneráveis.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA, e não há dados de EPSS. Não aparece exploração confirmada nas fontes consultadas. Mesmo assim, a pontuação crítica e o vetor acessível pela rede justificam priorizar a correção.

Correção e mitigação

Atualize o Discourse para uma das versões corrigidas da linha de sua instalação: 3.5.4, 2025.11.2, 2025.12.1 ou 2026.1.0.
A descrição afirma que não há soluções alternativas conhecidas, portanto a atualização é o caminho confiável.
Consulte o aviso de segurança no GitHub para a lista oficial de builds afetados e corrigidos.
Após a atualização, confirme a versão em execução na interface administrativa.

Orientações de detecção

Revise logs de aplicação e web em busca de requisições que façam o servidor contatar endereços internos, interfaces de loopback ou endpoints de metadados de nuvem.
Monitore conexões de saída do host do Discourse para destinos que não correspondam a serviços de negócio esperados.
Acompanhe alterações em recursos que buscam conteúdo remoto, como pré-visualização de links e oneboxes, pois costumam depender da lógica do FinalDestination.

Limitações das informações disponíveis

O registro não descreve as condições exatas para contornar a proteção, e esta análise não as detalha.
O registro não informa se as pontuações do GitHub e do NVD partem de premissas diferentes.
A divergência entre a lista de afetados e a descrição de versões corrigidas para a 2026.1.0 não é resolvida pelo registro.
Não há pontuação EPSS nem dados SSVC disponíveis.
As referências públicas consultadas se limitam ao aviso do GitHub e às páginas do NVD e do CVE.org.

Perguntas frequentes

Esta vulnerabilidade do Discourse está sendo explorada ativamente?

O registro indica que a CVE não consta no catálogo KEV da CISA e que não aparece exploração confirmada nas fontes consultadas. A pontuação crítica ainda justifica aplicar a correção rapidamente.

Para qual versão do Discourse devo atualizar?

A descrição lista 3.5.4, 2025.11.2, 2025.12.1 e 2026.1.0 como versões corrigidas. Escolha a versão corrigida da linha da sua instalação e confira o aviso no GitHub, pois a lista de afetados do registro diverge quanto à 2026.1.0.

Existem soluções alternativas caso não seja possível atualizar imediatamente?

O registro afirma que não há soluções alternativas conhecidas, então a atualização é a correção recomendada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.