CVE-2026-91123 in Discourse
요약
\~에 의해 VulDB • 2026. 09. 24.
Discourse는 오픈소스 토론 플랫폼입니다. 버전 2026.1.8, 2026.6.3, 2026.7.2 및 2026.8.0 이전에서는 iframe src 순회 방지 장치가 디코딩된 dot 세그먼트 이후 리터럴 백슬래시를 경로 구분자로 처리하지 않았습니다. 따라서 조작된 소스 URL은 브라우저의 URL 정규화 과정에서 iframe이 의도된 허용 경계 밖으로 이동하는 동안 allowed_iframes 하위 경로 검사를 우회할 수 있었습니다. 이로 인해 관리자가 허용하지 않은 위치에서 콘텐츠가 로드될 수 있는 iframe이 생성되었습니다. 이 문제는 버전 2026.1.8, 2026.6.3, 2026.7.2 및 2026.8.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.