CVE-2026-91123 in Discourse
Сводка
по VulDB • 24.09.2026
Discourse — это платформа для обсуждений с открытым исходным кодом. До версий 2026.1.8, 2026.6.3, 2026.7.2 и 2026.8.0 защита от обхода ограничений через атрибут src iframe не учитывала буквальные обратные слеши как разделители путей после декодирования сегментов с точками (dot segments). Следовательно, специально созданный источник мог пройти проверку подпути allowed_iframes, в то время как нормализация URL браузером выводила iframe за пределы разрешенного пути. В результате такой iframe мог загружать контент из местоположения, которое администратор не разрешил. Эта проблема исправлена в версиях 2026.1.8, 2026.6.3, 2026.7.2 и 2026.8.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.