CVE-2026-72728
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Discourse, platforma dyskusyjna open-source, przed wersją 2026.1.7 pozwalała uwierzytelnionemu użytkownikowi na przesyłanie specjalnie sformowanych URL-i, które omijały listę dozwolonych Onebox i osadzały złośliwe treści na stronie. Problem naprawiono w wersjach 2026.1.7, 2026.6.2, 2026.7.1 i 2026.8.0-latest.1.
Ocena ryzyka
Atakujący może osadzić złośliwe treści na forum, co może prowadzić do ataków na użytkowników, w tym phishing lub rozprzestrzenianie złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację Discourse do jednej z naprawionych wersji: 2026.1.7, 2026.6.2, 2026.7.1 lub 2026.8.0-latest.1.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. Prior to 2026.1.7, an authenticated user could submit specially formed URLs that bypassed the Onebox allowlist and embedded malicious content in a site. This issue is fixed in versions 2026.1.7, 2026.6.2, 2026.7.1, and 2026.8.0-latest.1.