CVE-2026-72720 in Discourse
Riassunto
di VulDB • 10/08/2026
Discourse è una piattaforma di discussione open-source. Prima delle versioni 2026.1.7, 2026.6.2, 2026.7.1 e 2026.8.0-latest.1, Discourse presenta un problema di HTML injection in PrettyText.format_for_email poiché i valori dell'attributo cooked vengono riprocessati come markup. Origini iframe Vimeo manipolate, URL secure-upload o dimensioni, nonché valori data-slug degli hashtag possono causare la reinterpretazione del testo decodificato negli attributi come codice HTML. Anche la conversione vulnerabile non convalida rigorosamente l'host e il percorso dell'iframe Vimeo, consentendo la conversione di iframe presenti in una whitelist che non appartengono a Vimeo. Questo problema è stato risolto nelle versioni 2026.1.7, 2026.6.2, 2026.7.1 e 2026.8.0-latest.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.