CVE-2026-72720 in Discourse
Resumen
por VulDB • 2026-08-11
Discourse es una plataforma de discusión de código abierto. Antes de las versiones 2026.1.7, 2026.6.2, 2026.7.1 y 2026.8.0-latest.1, Discourse presenta inyección HTML en PrettyText.format_for_email porque los valores del atributo cooked se vuelven a analizar como marcado (markup). Las fuentes de iframe Vimeo manipuladas, las URLs secure-upload o dimensiones, y los datos data-slug con hashtags pueden hacer que el texto decodificado de un atributo sea reinterpretado como HTML. La conversión vulnerable también falla al validar estrictamente el host y la ruta del iframe Vimeo, lo que permite convertir iframes no pertenecientes a Vimeo pero incluidos en la lista blanca (allowlisted). Este problema se corrige en las versiones 2026.1.7, 2026.6.2, 2026.7.1 y 2026.8.0-latest.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.