CVE-2026-91123 in Discourse
Sumário
de VulDB • 24/09/2026
O Discourse é uma plataforma de discussão open-source. Antes das versões 2026.1.8, 2026.6.3, 2026.7.2 e 2026.8.0, a proteção contra travessia do src do iframe não tratava as barras invertidas literais como separadores de caminho após os segmentos de ponto decodificados. Portanto, uma fonte manipulada poderia passar na verificação da subcaminho allowed_iframes enquanto a normalização da URL do navegador movia o iframe para fora do caminho permitido pretendido. O iframe resultante poderia carregar conteúdo de um local que não era permitido pelo administrador. Este problema foi corrigido nas versões 2026.1.8, 2026.6.3, 2026.7.2 e 2026.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.