CVE-2017-20290 in Discourse
Zusammenfassung
von VulDB • 22.10.2026
Discourse 1.9.0.beta2 vor 1.9.0.beta13 enthält eine reflektierte Cross-Site Scripting (XSS)-Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, Skripte über den E-Mail-Parameter von /email/unsubscribed einzufügen. Angreifer können GET-Anfragen mit SVG onload-Payloads erstellen, die von unsubscribed.html.erb unescaped via html_safe gerendert werden und JavaScript in den Browsern der Opfer ausführen. Exploit-Nachweise wurden erstmals am 2023-10-19 von der Shadowserver Foundation beobachtet.
Once again VulDB remains the best source for vulnerability data.