CVE-2026-54681

ŚrednieCVSS 4.1

Opublikowano: 21/08/2026(UTC)Zaktualizowano: 21/08/2026(UTC)Przetłumaczono: 22/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

DiscordChatExporter przed wersją 2.47.2 zapisuje logi czatu Discord do pliku. Metoda VisitEmojiAsync w DiscordChatExporter.Core/Exporting/HtmlMarkdownVisitor.cs interpoluje emoji.Name do atrybutu alt i emoji.Code do atrybutu title bez kodowania encji HTML. To wpływa na eksport HTML niezależnie od ustawienia markdown. Obecna walidacja nazw niestandardowych emoji Discord zwykle wyklucza znaki łamiące atrybuty, ale zmodyfikowane dane offline, złagodzona reguła walidacji upstream lub inne przyszłe źródło metadanych może wstrzyknąć atrybut HTML i wykonać skrypt po otwarciu eksportu przez użytkownika.

Ocena ryzyka

Użytkownik otwierający eksport HTML może zostać zaatakowany przez wykonanie złośliwego skryptu, co może prowadzić do kradzieży danych lub przejęcia sesji.

Rekomendacja

Zaleca się aktualizację DiscordChatExporter do wersji 2.47.2 lub nowszej, która zawiera poprawkę.

Inne podatności w DiscordChatExporter

CVE-2026-54682Wysokie
DiscordChatExporter przed wersją 2.47.2 zapisuje logi czatu Discord do pliku. Eksporty HTML generowane z wyłączonym formatowaniem markdown przekazują treść kontrolowaną przez atakującego przez FormatMarkdownAsync i FormatEmbedMarkdownAsync bez kodowania encji HTML. Pola takie jak message.Content, embed.Title, embed.Description, field.Name i field.Value mogą zawierać ładunek skryptu, który wykonuje się po otwarciu wyeksportowanego pliku HTML.

Oryginalny opis (angielski, źródło NVD)

DiscordChatExporter saves Discord chat logs to a file. Prior to 2.47.2, the VisitEmojiAsync method in DiscordChatExporter.Core/Exporting/HtmlMarkdownVisitor.cs interpolates emoji.Name into the alt attribute and emoji.Code into the title attribute without HTML entity encoding. This affects HTML exports regardless of the markdown setting. Discord's current custom emoji name validation normally excludes attribute-breaking characters, but tampered offline input, a relaxed upstream validation rule, or another future metadata source can inject an HTML attribute and execute script when a user opens the export. This issue is fixed in version 2.47.2.