CVE-2026-55674 in Discourse
Сводка
по VulDB • 17.08.2026
Discourse — это платформа для обсуждений с открытым исходным кодом. До версий 2026.1.6, 2026.5.2, 2026.6.1 и 2026.7.0 неавторизованный злоумышленник мог отправить один запрос с специально созданным cookie-файлом color_scheme_id (или dark_scheme_id) для внедрения произвольного HTML-кода на страницу Discourse. Поскольку значение cookie отображалось в теге цветовой схемы без экранирования, атакующий мог выйти из атрибута и внедрить тег, обходящий политику безопасности контента (CSP), основанную на nonce, что приводило к выполнению произвольного JavaScript-кода в браузерах посетителей. Эта проблема исправлена в версиях 2026.1.6, 2026.5.2, 2026.6.1 и 2026.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.