CVE-2026-72720
Açıklama
Discourse, açık kaynaklı bir tartışma platformudur. 2026.1.7, 2026.6.2, 2026.7.1 ve 2026.8.0-latest.1 sürümlerinden önce Discourse, PrettyText.format_for_email içinde HTML enjeksiyonuna açıktır çünkü işlenmiş öznitelik değerleri biçimlendirme olarak yeniden ayrıştırılır. Özel olarak hazırlanmış Vimeo iframe kaynakları, güvenli yükleme URL'leri veya boyutları ve hashtag data-slug değerleri, çözülen öznitelik metninin HTML olarak yeniden yorumlanmasına neden olabilir. Savunmasız dönüştürme ayrıca Vimeo iframe ana bilgisayarını ve yolunu katı biçimde doğrulamaz ve Vimeo dışındaki izin listesindeki iframe'lerin dönüştürülmesine olanak tanır. Bu sorun 2026.1.7, 2026.6.2, 2026.7.1 ve 2026.8.0-latest.1 sürümlerinde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| discourse discourse | < 2026.1.7, >= 2026.6.0-latest, < 2026.6.2, >= 2026.7.0-latest, < 2026.7.1, >= 2026.8.0-latest, < 2026.8.0-latest.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.