CVE-2026-32607
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Discourse, gdy włączona jest opcja ukryta 'prioritize_full_name_in_ux', nazwy wyświetlane użytkowników i grup są renderowane bez kodowania HTML w kilku ścieżkach UI związanych z przypisaniami. Umożliwia to użytkownikom z uprawnieniami assign wstrzyknięcie dowolnego HTML/JavaScript, który wykonuje się w przeglądarce każdego użytkownika przeglądającego dotknięty temat.
Ocena ryzyka
Atakujący może wykonać skrypt w kontekście sesji innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia konta lub nieautoryzowanych działań.
Rekomendacja
Zaktualizuj Discourse do wersji 2026.1.3, 2026.2.2 lub 2026.3.0, w zależności od używanej gałęzi.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.3, 2026.2.0-latest to before 2026.2.2, and 2026.3.0-latest to before 2026.3.0, when the hidden prioritize_full_name_in_ux site setting is enabled (defaults to false, requires console access to change), user and group display names are rendered without HTML escaping in several assignment-related UI paths. This allows users with assign permission to inject arbitrary HTML/JavaScript that executes in the browser of any user viewing an affected topic. This issue has been patched in versions 2026.1.3, 2026.2.2, and 2026.3.0.