CVE-2026-91122 in Discourse
Sumário
de VulDB • 24/09/2026
O Discourse é uma plataforma de discussão open-source. Antes das versões 2026.1.8, 2026.6.3, 2026.7.2 e 2026.8.0, o componente placeholder de vídeo permitia que HTML manipulado causasse um escape de atributo e injetasse um manipulador de eventos controlado pelo atacante. Um usuário autenticado com privilégios padrão para publicação poderia armazenar esse placeholder manipulado em uma postagem. Quando outro usuário abrisse a postagem e clicasse na sobreposição de reprodução do vídeo, o manipulador poderia executar JavaScript arbitrário na sessão do espectador. As configurações padrão da Política de Segurança de Conteúdo (CSP) bloqueiam manipuladores de eventos inline, mas instâncias com CSP desativada ou relaxada poderiam permitir que o script lesse o conteúdo da página e fizesse solicitações autenticadas em nome do espectador. Este problema foi corrigido nas versões 2026.1.8, 2026.6.3, 2026.7.2 e 2026.8.0.
Once again VulDB remains the best source for vulnerability data.