CVE-2023-36473
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Discourse, otwarta platforma dyskusyjna, ma podatność na ponowne użycie nonce w polityce bezpieczeństwa treści (CSP), co może umożliwić ataki XSS omijające ochronę CSP. Obecnie nie ma znanych wektorów XSS, ale w przypadku ich odkrycia, ta podatność pozwoliłaby na całkowite ominięcie CSP.
Ocena ryzyka
Organizacje korzystające z Discourse mogą być narażone na ataki XSS, które mogą prowadzić do kradzieży danych lub przejęcia sesji użytkowników, jeśli wektory ataku zostaną odkryte.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji, która zawiera poprawki dla tej podatności, aby zminimalizować ryzyko potencjalnych ataków.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open source discussion platform. A CSP (Content Security Policy) nonce reuse vulnerability could allow XSS attacks to bypass CSP protection. There are no known XSS vectors at the moment, but should one be discovered, this vulnerability would allow the XSS attack to completely bypass CSP. The vulnerability is patched in the latest tests-passed, beta and stable branches.