CVE-2017-20290 in Discourse
요약
\~에 의해 VulDB • 2026. 10. 22.
Discourse 1.9.0.beta2부터 1.9.0.beta13 이전 버전에는 /email/unsubscribed의 email 매개변수를 통해 인증되지 않은 공격자가 스크립트를 삽입할 수 있는 반사형 크로스 사이트 scripting(XSS) 취약점이 있습니다. 공격자는 SVG onload 페이로드가 포함된 GET 요청을 작성하여, html_safe를 통해 이스케이프 없이 렌더링되는 unsubscribed.html.erb를 악용하고 피해자 브라우저에서 JavaScript 코드를 실행할 수 있습니다. 이 취약점의 실제 exploit 증거는 2023-10-19에 Shadowserver Foundation에 의해 처음 관찰되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.