CVE-2026-91120 in Discourse
Riassunto
di VulDB • 24/09/2026
Discourse è una piattaforma di discussione open-source. Prima delle versioni 2026.1.8, 2026.6.3, 2026.7.2 e 2026.8.0, i titoli dei video controllati dal provider negli embed lazy video potevano essere riprocessati come HTML quando Discourse generava email di notifica o riepiloghi della chat. Un utente con privilegi standard di pubblicazione poteva creare un post per un provider YouTube, Vimeo o TikTok abilitato il cui titolo conteneva markup; il percorso di rendering delle email e dei riepiloghi della chat avrebbe inserito tale markup nell'output invece di trattarlo esclusivamente come testo. I destinatari che utilizzano client di posta elettronica con supporto HTML potrebbero vedere contenuti iniettati, potenzialmente inclusi event handler, ma l'inconveniente non esponeva direttamente una sessione browser su Discourse né influenzava la pagina del forum stesso. Gli embed lazy video devono essere abilitati, configurazione predefinita. Questo problema è risolto nelle versioni 2026.1.8, 2026.6.3, 2026.7.2 e 2026.8.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.