CVE-2026-32607
Açıklama
Discourse açık kaynaklı bir tartışma platformudur. 2026.1.0-latest ile 2026.1.3 öncesi, 2026.2.0-latest ile 2026.2.2 öncesi ve 2026.3.0-latest ile 2026.3.0 öncesi versiyonlarda, gizli prioritize_full_name_in_ux site ayarı etkinleştirildiğinde (varsayılan olarak yanlıştır, değiştirmek için konsol erişimi gerektirir), kullanıcı ve grup görüntüleme adları çeşitli atama ilgili kullanıcı arayüzü yollarında HTML kaçış karakterleri olmadan işlenmektedir. Bu durum, atama yetkisine sahip kullanıcıların, etkilenen bir konuyu görüntüleyen herhangi bir kullanıcının tarayıcısında çalışan rastgele HTML/JavaScript enjekte etmesine olanak tanır. Bu sorun 2026.1.3, 2026.2.2 ve 2026.3.0 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- discourse discourse2026.1.3, 2026.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| discourse discourse | 2026.1.0 ≤ v < 2026.1.3, 2026.2.0 ≤ v < 2026.2.2, 2026.3.0 | 2026.1.3, 2026.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.