Katalog CVE
CVE-2026-72730
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzyko0.24%
Percentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Discourse ma podatność na przechowywany XSS w edytorze tekstu sformatowanego, gdzie nazwa użytkownika w transkrypcji czatu jest renderowana jako HTML.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji lub danych.
Rekomendacja
Zaktualizuj Discourse do wersji 2026.1.6, 2026.5.2, 2026.6.1 lub 2026.7.0, które zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. Prior to 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.0, the Rich Text Editor rendered a chat-transcript username as HTML, allowing stored cross-site scripting. This issue is fixed in versions 2026.1.6, 2026.5.2, 2026.6.1, and 2026.7.0.