CVE-2026-91120
Açıklama
Discourse açık kaynaklı bir tartışma platformudur. 2026.1.8, 2026.6.3, 2026.7.2 ve 2026.8.0 sürümlerinden önce, tembel video gömmelerinde (lazy video embeds) sağlayıcı tarafından kontrol edilen video başlıkları, Discourse bildirim e-postaları veya sohbet özetleri oluşturduğunda HTML olarak yeniden ayrıştırılabiliyordu. Standart paylaşım yetkilerine sahip bir kullanıcı; başlığı işaretleme içeren etkinleştirilmiş bir YouTube, Vimeo veya TikTok sağlayıcısı için gönderi oluşturabilirdi ve e-posta ile sohbet özeti işleme yolu, bu işaretlemeyi yalnızca metin olarak değerlendirmek yerine çıktıya yerleştiriyordu. HTML destekli e-posta istemcileri kullanan alıcılar, potansiyel olarak olay işleyicilerini de içeren enjekte edilmiş içeriği görebilirdi ancak sorun doğrudan bir Discourse tarayıcı oturumunu açığa çıkarmıyor veya forum sayfasının kendisini etkilemiyordu. Tembel video gömmelerinin etkinleştirilmiş olması gerekmektedir ki bu varsayılan yapılandırmadır. Bu sorun 2026.1.8, 2026.6.3, 2026.7.2 ve 2026.8.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| discourse discourse | < 2026.8.0, >= 2026.7.0-latest, < 2026.7.2, >= 2026.6.0-latest, < 2026.6.3, >= 2026.1.0-latest, < 2026.1.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.