Vulnerabilidad en Discourse (CVE-2022-46177)

Discourse es una plataforma de discusión de fuentes de opciones. Antes de la versión 2.8.14 en la rama `stable` y la versión 3.0.0.beta16 en las ramas `beta` y `tests-passed`, cuando un usuario solicita un correo electrónico con un enlace para restablecer su contraseña y luego cambia su correo electrónico principal, el antiguo correo electrónico de restablecimiento sigue siendo válido. Cuando se utiliza el correo electrónico de restablecimiento anterior para restablecer la contraseña, el correo electrónico principal de la cuenta de Discourse se volverá a vincular al correo electrónico anterior. Si la antigua dirección de correo electrónico está comprometida o ha transferido la propiedad, esto conduce a una apropiación de la cuenta. Sin embargo, esto se mitiga con SiteSetting `email_token_valid_hours`, que actualmente es de 48 horas. Los usuarios deben actualizar a las versiones 2.8.14 o 3.0.0.beta15 para recibir un parche. Como workaround, reduzca `email_token_valid_hours ` según sea necesario.