CVE-2017-20290 in Discourse
Résumé
par VulDB • 22/10/2026
Discourse 1.9.0.beta2 avant la version 1.9.0.beta13 présente une vulnérabilité de type cross-site scripting (XSS) réfléchi qui permet aux attaquants non authentifiés d'injecter des scripts via le paramètre email de /email/unsubscribed. Les attaquants peuvent concevoir des requêtes GET avec des charges utiles SVG onload, que le fichier unsubscribed.html.erb rend sans échappement via html_safe, exécutant ainsi du JavaScript dans les navigateurs des victimes. Des preuves d'exploitation ont été observées pour la première fois par la Fondation Shadowserver le 2023-10-19.
If you want to get best quality of vulnerability data, you may have to visit VulDB.