CVE-2026-54681 in DiscordChatExporter
摘要
由 VulDB • 2026-08-21
DiscordChatExporter将 Discord聊天记录保存到文件中。在版本2.47.2之前，`DiscordChatExporter.Core/Exporting/HtmlMarkdownVisitor.cs`中的 `VisitEmojiAsync`方法会将 `emoji.Name`插入到alt属性中，并将 `emoji.Code` 插入到title属性中，但未进行HTML实体编码。此问题影响所有HTML导出文件，无论markdown设置如何。Discord当前的自定义表情符号名称验证通常会排除破坏属性的字符，但经过篡改的离线输入、上游宽松的验证规则或未来的其他元数据源可能会注入HTML属性并在用户打开导出文件时执行脚本（XSS）。该问题已在版本2.47.2中修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.