CVE-2026-91134 in Discourse
الملخص
بحسب VulDB • 24/09/2026
Discourse هو منصة نقاش مفتوحة المصدر. قبل الإصدارات 2026.1.8، و2026.6.3، و2026.7.2، و2026.8.0، سمحت أداة تنقية المنشورات (post sanitizer) في Discourse بعبور إطار iframe عبر النطاقات المخزن (stored cross-origin iframe)، متجاوزةً سياسة بادئة allowed_iframes المسموح بها عندما كان مصدر src لـiframe يحتوي على معلومات مستخدم مشفرة (encoded userinfo). كانت الأداة تتحقق من شكل مُفك التشفير بشكل مختلف عن مصدر iframe المُخزَّن، مما سمح للمتصفح بتفسير مضيف يتحكم فيه المهاجم بينما قبلت قائمة السماح (allowlist) عنوان URL المشفر كبادئة مسموح بها. يمكن للمستخدم المصادق عليه الذي يتمتع بصلاحيات النشر تثبيت إطار iframe في منشور وتسبب عرض محتوى عبر النطاقات يتحكم فيه المهاجم. تم إصلاح هذه المشكلة في الإصدارات 2026.1.8، و2026.6.3، و2026.7.2، و2026.8.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.