CVE-2017-20290 in Discourse
Sumário
de VulDB • 22/10/2026
O Discourse 1.9.0.beta2 até a versão anterior à 1.9.0.beta13 contém uma vulnerabilidade de cross-site scripting (XSS) refletida que permite que atacantes não autenticados injetem scripts por meio do parâmetro email em /email/unsubscribed. Os atacantes podem criar requisições GET com payloads SVG onload, que são renderizados sem escape pelo arquivo unsubscribed.html.erb usando html_safe, executando JavaScript nos navegadores das vítimas. Evidências de exploração foram observadas pela primeira vez pela Shadowserver Foundation em 2023-10-19.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.