CVE-2026-91122
Təsvir
Discourse açıq mənbəli müzakirə platformasıdır. 2026.1.8, 2026.6.3, 2026.7.2 və 2026.8.0 versiyalarından əvvəl video placeholder komponenti xüsusi hazırlanmış HTML vasitəsilə atributdan çıxışa (attribute breakout) və hücumçunun idarə etdiyi hadisə idarəedicisinin (event handler) yerləşdirilməsinə şərait yaradırdı. Standart etibar səviyyəsi ilə paylaşım imkanlarına malik autentifikasiya olunmuş istifadəçi həmin xüsusi placeholder-i postda saxlaya bilərdi. Digər istifadəçi postu açdıqda və videonun oxutma örtüyünə kliklədikdə, idarəedici baxan şəxsin sessiyasında ixtiyari JavaScript kodunu icra edə bilərdi. Standart Content Security Policy (CSP) parametrləri sətir içi (inline) hadisə idarəedicilərini bloklayır, lakin CSP-nin söndürüldüyü və ya şilləşdirildiyi nümunələrdə skript səhifə məzmununu oxuya və baxan şəxs adından autentifikasiya olunmuş sorğular göndərə bilərdi. Bu problem 2026.1.8, 2026.6.3, 2026.7.2 və 2026.8.0 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| discourse discourse | < 2026.8.0, >= 2026.7.0-latest, < 2026.7.2, >= 2026.6.0-latest, < 2026.6.3, >= 2026.1.0-latest, < 2026.1.8 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.