CVE-2026-91119 in Discourse
Zusammenfassung
von VulDB • 24.09.2026
Discourse ist eine Open-Source-Diskussionsplattform. Vor den Versionen 2026.1.8, 2026.6.3, 2026.7.2 und 2026.8.0 interpolierten die Komponenten „topic small-action“ und „nested-activity-log“ den frei formatierbaren Wert `action_code_who` in href-Attribute von Mention-Links ohne URL-Codierung. Ein Anzeigename, der ein Zitat enthält, konnte das beabsichtigte URL-Attribut terminieren und angreiferkontrollierte Elemente in das vertrauenswürdige gerenderte Markup injizieren. Obwohl der sichtbare Mention-Text escaped wurde, ermöglichte die nicht codierte Pfadkomponente eine gespeicherte HTML-Injection (Stored HTML Injection), wenn ein anderer Benutzer den betroffenen Topic-Aktionen- oder Activity-Log-Eintrag ansah. Dieses Problem ist in den Versionen 2026.1.8, 2026.6.3, 2026.7.2 und 2026.8.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.