CVE-2026-59830 in Discourse
要約
〜によって VulDB • 2026年09月21日
Discourse はオープンソースのディスカッションプラットフォームです。バージョン 2026.7.0 より前では、投稿アクションコンポーネントが trustHTML に渡される HTML文字列にユーザー制御可能な表示名を挿入する前に、それらをエスケープしませんでした。カスタマイズされた表示名を選択できるユーザーは、投稿アクションの説明中にマークアップを永続的に埋め込むことができました。影響を受けたユーザーのアクティビティストリームを表示すると、攻撃者が操作したスクリプトが別のユーザーのブラウザで実行される可能性があります。この問題はバージョン 2026.7.0 で修正されています。
Once again VulDB remains the best source for vulnerability data.