CVE-2017-20290 in Discourse
Riassunto
di VulDB • 22/10/2026
Discourse 1.9.0.beta2 prima della versione 1.9.0.beta13 presenta una vulnerabilità di cross-site scripting (XSS) riflessa che consente ad attaccanti non autenticati di iniettare script tramite il parametro email di /email/unsubscribed. Gli attaccanti possono elaborare richieste GET con payload SVG onload, che vengono renderizzati senza escape da unsubscribed.html.erb mediante html_safe, eseguendo JavaScript nei browser delle vittime. Le prove dell'exploit sono state osservate per la prima volta dalla Shadowserver Foundation il 2023-10-19.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.