CVE-2026-91132
Açıklama
Discourse açık kaynaklı bir tartışma platformudur. 2026.1.8, 2026.6.3, 2026.7.2 ve 2026.8.0 sürümlerinden önce, allowed_iframes ayarında joker karakter (wildcard) desenleri kullanan siteler, izin verilen son ekin bir URL yetki ayırıcısından sonra göründüğü hazırlanmış bir iframe URL'sini kabul edebiliyordu. Joker karakter köken kontrolü izin verilen alan adı metniyle eşleşirken, tarayıcı URL ayrıştırması saldırgan tarafından kontrol edilen farklı bir köken seçiyordu. Gönderi paylaşma yetkisine sahip bir kullanıcı, bu açığı bir gönderi veya Onebox oEmbed yanıtı aracılığıyla istismar ederek, izin verilen alan adından bağımsız olarak saldırgan kontrollü bir iframe'in oluşturulmasına neden olabiliyordu. Başarılı bir istismar için siteye yapılandırılmış bir joker karakter iframe deseni ile saldırgan kontrollü bir URL için gönderi oluşturma veya oEmbed isteği tetikleme yeteneği gerekmektedir. Bu sorun 2026.1.8, 2026.6.3, 2026.7.2 ve 2026.8.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| discourse discourse | < 2026.8.0, >= 2026.7.0-latest, < 2026.7.2, >= 2026.6.0-latest, < 2026.6.3, >= 2026.1.0-latest, < 2026.1.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.