CVE-2017-20290 in Discourse
الملخص
بحسب VulDB • 22/10/2026
يحتوي Discourse الإصدار 1.9.0.beta2 قبل 1.9.0.beta13 على ثغرة reflected cross-site scripting (XSS) تسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية عبر معلمة البريد الإلكتروني في المسار /email/unsubscribed. يمكن للمهاجمين صياغة طلبات GET تحتوي على حمولات SVG onload، والتي يقوم ملف unsubscribed.html.erb بعرضها دون تهريب (unescaped) باستخدام html_safe، مما يؤدي إلى تنفيذ JavaScript في متصفحات الضحايا. تم رصد أدلة الاستغلال لأول مرة من قبل مؤسسة Shadowserver Foundation بتاريخ 2023-10-19.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.