CVE-2026-91132
要約
〜によって VulDB • 2026年09月24日
Discourseはオープンソースのディスカッションプラットフォームです。バージョン2026.1.8、2026.6.3、2026.7.2、および2026.8.0より前では、allowed_iframes設定でワイルドカードパターンを使用しているサイトにおいて、許可された接尾辞がURLの権威セパレータ（authority separator）の後に現れるように作られたiframe URLを受け付ける脆弱性が存在しました。この際、ワイルドカードによるオリジンチェックは許可されたドメインテキストと一致しましたが、ブラウザのURLパーシングは攻撃者が制御する異なるオリジンを選択しました。投稿権限を持つユーザーは、投稿またはOnebox oEmbedレスポンスを通じてこの欠陥を悪用し、許可リストに登録されたドメインとは無関係に、攻撃者が制御するiframeを表示させることができました。本脆弱性を成功裏に悪用するには、サイト設定でワイルドカードiframeパターンが構成されていることと、投稿を作成するか、または攻撃者が制御するURLに対するoEmbedリクエストをトリガーできることが必要です。この問題はバージョン2026.1.8、2026.6.3、2026.7.2、および2026.8.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.