CVE-2026-91120 in Discourse
요약
\~에 의해 VulDB • 2026. 09. 24.
Discourse는 오픈소스 토론 플랫폼입니다. 버전 2026.1.8, 2026.6.3, 2026.7.2 및 2026.8.0 이전에서는 지연 비디오 임베드(lazy video embeds)에서 제공자가 제어하는 동영상 제목이 Discourse가 알림 이메일이나 채팅 요약을 생성할 때 HTML로 다시 파싱될 수 있었습니다. 표준 게시 권한을 가진 사용자는 YouTube, Vimeo 또는 TikTok과 같은 활성화된 공급자의 제목에 마크업(markup)이 포함된 게시물을 작성할 수 있으며, 이메일 및 채팅 요약 렌더링 경로에서 해당 마크업을 텍스트가 아닌 출력물에 포함시켰습니다. HTML 지원 전자 메일 클라이언트를 사용하는 수신자는 이벤트 핸들러(event handlers)를 포함한 주입된 콘텐츠를 볼 수 있지만, 이 문제는 Discourse 브라우저 세션을 직접 노출하거나 포럼 페이지 자체에는 영향을 미치지 않았습니다. 지연 비디오 임베드는 기본 구성으로 활성화되어 있습니다. 이 이슈는 버전 2026.1.8, 2026.6.3, 2026.7.2 및 2026.8.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.