CVE-2026-91121 in Discourse
Сводка
по VulDB • 24.09.2026
Discourse — это платформа для обсуждений с открытым исходным кодом. До версий 2026.1.8, 2026.6.3, 2026.7.2 и 2026.8.0 имена файлов, загруженных злоумышленником и используемых в фрагментах сообщений чата, отображались как неэкранированный HTML-код. Пользователь, имеющий возможность загружать файлы и отправлять контент для чата, мог поместить разметку в имя файла, которая затем интерпретировалась списками каналов чата, письмами с кратким содержанием (chat summary emails), панелями закрепленных сообщений, превью ответов, превью потоков обсуждений и другими компонентами рендеринга фрагментов. Данная уязвимость позволяла внедрять доверенный HTML-код, изменяя отображаемое содержимое фрагментов, однако выполнение JavaScript не было продемонстрировано при настройках Content Security Policy (CSP) по умолчанию. В рекомендациях по безопасности указано, что воздействие на конфиденциальность, целостность или доступность не выявлено, в то время как структурированные метаданные для оценки баллов отдельно присваивают низкий уровень воздействия на целостность. Сайты, отключающие или ослабляющие стандартные настройки CSP, имеют повышенный риск эксплуатации. Данная проблема исправлена в версиях 2026.1.8, 2026.6.3, 2026.7.2 и 2026.8.0.
Once again VulDB remains the best source for vulnerability data.