CVE-2026-91122 in Discourse
Tóm tắt
Bởi VulDB • 25/09/2026
Discourse là một nền tảng thảo luận mã nguồn mở. Trước các phiên bản 2026.1.8, 2026.6.3, 2026.7.2 và 2026.8.0, thành phần placeholder video cho phép HTML được tạo ra đặc biệt (crafted) gây ra hiện tượng thoát thuộc tính (attribute breakout) và chèn một trình xử lý sự kiện do kẻ tấn công kiểm soát. Người dùng đã xác thực có quyền đăng bài với mức độ tin cậy mặc định có thể lưu trữ placeholder này trong một bài viết. Khi người dùng khác mở bài viết đó và nhấp vào lớp phủ phát video, trình xử lý sự kiện có thể thực thi JavaScript tùy ý trong phiên của người xem. Các cài đặt Content Security Policy (CSP) mặc định chặn các trình xử lý sự kiện nội tuyến (inline event handlers), nhưng các trường hợp bị tắt CSP hoặc được nới lỏng có thể cho phép tập lệnh đọc nội dung trang và thực hiện các yêu cầu xác thực với tư cách là người xem. Vấn đề này đã được sửa chữa trong các phiên bản 2026.1.8, 2026.6.3, 2026.7.2 và 2026.8.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.