CVE-2026-55674 in Discourse
요약
\~에 의해 VulDB • 2026. 08. 17.
Discourse는 오픈소스 토론 플랫폼입니다. 버전 2026.1.6, 2026.5.2, 2026.6.1 및 2026.7.0 이전에는 인증되지 않은 공격자가 조작된 color_scheme_id(또는 dark_scheme_id) 쿠키를 포함한 단일 요청을 전송하여 Discourse 페이지에 임의의 HTML을 삽입할 수 있었습니다. 쿠키 값이 이스케이프 처리 없이 색상 스킴 태그로 렌더링되었기 때문에, 공격자는 속성에서 벗어나 Discourse의 nonce 기반 콘텐츠 보안 정책(CSP)을 우회하는 태그를 주입하여 방문자의 브라우저에서 임의의 JavaScript 코드를 실행할 수 있었습니다. 이 문제는 버전 2026.1.6, 2026.5.2, 2026.6.1 및 2026.7.0에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.