CVE-2026-72720
Təsvir
Discourse açıq mənbəli müzakirə platformasıdır. 2026.1.7, 2026.6.2, 2026.7.1 və 2026.8.0-latest.1 versiyalarından əvvəlki Discourse versiyalarında,cooked atribut dəyərlərinin yenidən nişanlama (markup) kimi təhlil edilməsi səbəbindən PrettyText.format_for_email funksiyasında HTML inyeksiyası mövcuddur. Xüsusi hazırlanmış Vimeo iframe mənbələri, secure-upload URL-ləri və ya ölçüləri, həmçinin hashtag data-slug dəyərləri dekodlaşdırılmış atribut mətninin HTML kimi yenidən şərh edilməsinə səbəb ola bilər. Həmçinin zəiflikli çevirmə prosesi Vimeo iframe hostu və yolunu ciddi şəkildə yoxlamır ki, bu da ağ siyahıya daxil olmayan qeyri-Vimeo iframe-lərinin çevrilməsinə imkan verir. Bu problem 2026.1.7, 2026.6.2, 2026.7.1 və 2026.8.0-latest.1 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| discourse discourse | < 2026.1.7, >= 2026.6.0-latest, < 2026.6.2, >= 2026.7.0-latest, < 2026.7.1, >= 2026.8.0-latest, < 2026.8.0-latest.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.