CVE-2026-27740
Təsvir
Discourse açıq mənbəli müzakirə platformasıdır. 2026.3.0-latest.1, 2026.2.1 və 2026.1.2 versiyalarından əvvəlki versiyalarda saytlararası skriptinq (XSS) zəifliyi mövcuddur. Bu zəiflik sistemin Süni İntellekt Böyük Dil Modelindən (LLM) gələn xam çıxışa etibar etməsi və onu kifayət qədər təmizləmədən Review Queue interfeysində htmlSafe vasitəsilə render etməsi səbəbindən yaranır. Bədniyyətli hücumçu düzgün Prompt Injection texnikalarından istifadə edərək süni intellekti bədniyyətli faylları (məsələn, teqləri) qaytarmağa məcbur edə bilər. Heyət üzvü (Admin/Moderator) Review Queue-da işarələnmiş paylaşımı görüntülədikdə həmin fayl icra olunur. 2026.3.0-latest.1, 2026.2.1 və 2026.1.2 versiyaları bu problemi aradan qaldıran yamanı ehtiva edir. Müvəqqəti həll yolu kimi AI triaj avtomatlaşdırma skriptlərini deaktiv edin.
Necə düzəltmək olar
- discourse discourse2026.1.2, 2026.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| discourse discourse | 2026.1.0 ≤ v < 2026.1.2, 2026.2.0 ≤ v < 2026.2.1, 2026.3.0 | 2026.1.2, 2026.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.