CVE-2026-91122 in Discourse
Zusammenfassung
von VulDB • 25.09.2026
Discourse ist eine Open-Source-Diskussionsplattform. Vor den Versionen 2026.1.8, 2026.6.3, 2026.7.2 und 2026.8.0 ermöglichte die Video-Platzhalterkomponente durch speziell angefertigten HTML-Code einen Attribut-Ausbruch (Attribute Breakout) und das Einfügen eines vom Angreifer kontrollierten Event Handlers. Ein authentifizierter Benutzer mit Standard-Berechtigungen zum Posten konnte den manipulierten Platzhalter in einem Beitrag speichern. Wenn ein anderer Benutzer diesen Beitrag öffnete und auf die Video-Wiedergabe-Overlay-Klickfläche klickte, konnte der Handler beliebigen JavaScript-Code im Sitzungskontext des Betrachters ausführen. Die standardmäßigen Content Security Policy (CSP)-Einstellungen blockieren Inline-Event-Handler, aber Instanzen mit deaktivierter oder lockerer CSP könnten es dem Skript ermöglichen, Seiteninhalte zu lesen und authentifizierte Anfragen als der Betrachter durchzuführen. Dieses Problem wurde in den Versionen 2026.1.8, 2026.6.3, 2026.7.2 und 2026.8.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.