Към съдържанието
Търсене

CVE-2026-91123: discourse, обхождане на път

7.2

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

Discourse is an open-source discussion platform. Prior to 2026.1.8, 2026.6.3, 2026.7.2, and 2026.8.0, the iframe src traversal guard did not treat literal backslashes as path separators after decoded dot segments. A crafted source could therefore pass an allowed_iframes subpath check while browser URL normalization moved the iframe outside the intended allowed path. The resulting iframe could load content from a location that the administrator did not allow. This issue is fixed in versions 2026.1.8, 2026.6.3, 2026.7.2, and 2026.8.0.

Засегнати продукти

  • discourse discourse: < 2026.8.0; >= 2026.7.0-latest, < 2026.7.2; >= 2026.6.0-latest, < 2026.6.3; >= 2026.1.0-latest, < 2026.1.8

Вид слабост

История

  • 24 септември 2026 Публикувано

Други уязвимости в discourse discourse

Първоизточници

CVE-2026-91123: discourse, обхождане на път | freedomonline.bg