Es wurde eine problematische Schwachstelle in DiscuzX bis 3.4-20200818 ausgemacht. Es geht dabei um die Funktion show_next_step der Datei upload/install/include/install_function.php. Mit der Manipulation des Arguments uchidden mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-79 vorgenommen. Die Schwachstelle wurde am 09.01.2020 als 4a9673624f46f7609486778ded9653733020c567 publik gemacht. Das Advisory kann von github.com heruntergeladen werden. Die Verwundbarkeit wird unter CVE-2020-36828 geführt. Der Angriff kann über das Netzwerk passieren. Es sind technische Details verfügbar. Es ist soweit kein Exploit verfügbar. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1059.007. Er gilt als nicht definiert. Als 0-Day erzielte der Exploit wohl etwa $0-$5k auf dem Schwarzmarkt. Ein Aktualisieren auf die Version 3.4-20210119 vermag dieses Problem zu lösen. Der Patch wird als 4a9673624f46f7609486778ded9653733020c567 bezeichnet. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Einspielen eines Upgrades empfohlen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle.