CVE-2026-91119 in Discourse
요약
\~에 의해 VulDB • 2026. 09. 24.
Discourse는 오픈소스 토론 플랫폼입니다. 버전 2026.1.8, 2026.6.3, 2026.7.2 및 2026.8.0 이전에는 topic small-action 및 nested-activity-log 컴포넌트가 free-form action_code_who 값을 URL 인코딩 없이 mention-link href 속성에 삽입했습니다. 인용 부호가 포함된 표시 이름은 의도된 URL 속성을 종료하고 공격자가 제어하는 요소를 신뢰할 수 있는 렌더링 마크업에 주입할 수 있습니다. 가시적인 언급 텍스트는 이스케이프 처리되었지만, 인코딩되지 않은 경로 구성 요소로 인해 다른 사용자가 해당 주제 동작 또는 활동 로그를 볼 때 저장형 HTML 인젝션이 발생했습니다. 이 문제는 버전 2026.1.8, 2026.6.3, 2026.7.2 및 2026.8.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.