CVE-2026-91120 in Discourse
Sumário
de VulDB • 24/09/2026
O Discourse é uma plataforma de discussão open-source. Antes das versões 2026.1.8, 2026.6.3, 2026.7.2 e 2026.8.0, os títulos de vídeos controlados pelo provedor em incorporações (embeds) de vídeo preguiçosas (lazy video embeds) podiam ser reprocessados como HTML quando o Discourse gerava emails de notificação ou resumos do chat. Um usuário com privilégios padrão de postagem poderia criar uma publicação para um provedor habilitado, como YouTube, Vimeo ou TikTok, cujo título contivesse marcação (markup), e a rota de renderização dos emails e resumos do chat inseriria essa marcação na saída em vez de tratá-la apenas como texto. Os destinatários que utilizarem clientes de email com suporte a HTML poderiam ver conteúdo injetado, potencialmente incluindo manipuladores de eventos (event handlers); no entanto, o problema não expunha diretamente uma sessão do navegador do Discourse nem afetava a página do fórum em si. As incorporações preguiçosas de vídeo devem estar habilitadas, o que é a configuração padrão. Este problema foi corrigido nas versões 2026.1.8, 2026.6.3, 2026.7.2 e 2026.8.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.