CVE-2026-72729
NiskieCVSS 2.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność w Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0. Wtyczka discourse-local-dates renderowała sformatowane dane lokalnych dat jako HTML na stronach ze zmodyfikowaną lub wyłączoną domyślną polityką bezpieczeństwa treści.
Ocena ryzyka
Możliwość wstrzyknięcia HTML lub JavaScript, co może prowadzić do ataków XSS i przejęcia sesji użytkowników.
Rekomendacja
Zaktualizuj Discourse do jednej z wersji: 2026.1.6, 2026.5.2, 2026.6.1 lub 2026.7.0.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. Prior to 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.0, the discourse-local-dates plugin rendered crafted local-date format data as HTML on sites with a modified or disabled default Content Security Policy. This issue is fixed in versions 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.0.