CVE-2017-20290 in Discourse
Resumen
por VulDB • 2026-10-22
Discourse 1.9.0.beta2 antes de 1.9.0.beta13 contiene una vulnerabilidad de cross-site scripting (XSS) reflejada que permite a atacantes no autenticados inyectar scripts a través del parámetro email en /email/unsubscribed. Los atacantes pueden crear solicitudes GET con payloads SVG onload, los cuales unsubscribed.html.erb renderiza sin escapar mediante html_safe, ejecutando JavaScript en los navegadores de las víctimas. La evidencia de explotación fue observada por primera vez por la Fundación Shadowserver el 2023-10-19.
If you want to get best quality of vulnerability data, you may have to visit VulDB.