CVE-2026-91159
Discourse: حقن HTML مخزَّن عبر oEmbed من خلال iframe المسموح به
- تم النشر
- 14/10/2026
- محدث
- 20/10/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 04/11/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 36.2%
- تاريخ الموديل
- 04/11/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
Discourse هي منصة نقاش مفتوحة المصدر. قبل الإصدارات 2026.9.0 و2026.8.1 و2026.7.3 و2026.1.9، كانت معالجة oEmbed تتعامل مع جزء HTML كامل يتحكم فيه المهاجم على أنه موثوق عندما يحتوي هذا الجزء على iframe يتطابق مصدره مع قائمة السماح المُهيأة. كان بإمكان مستخدم يمتلك صلاحية النشر ويتحكم في صفحة ويب عامة واستجابة oEmbed الخاصة بها أن يجمع بين iframe مدرج في قائمة السماح وعناصر HTML شقيقة غير ذات صلة أو CSS، مما يؤدي إلى ظهور تراكبات مرئية مخزنة أو محتوى منسّق آخر في محتوى المنشور، وتمكين واجهات مستخدم مضللة أو احتيالية. يتطلب الاستغلال حساب نشر، والتحكم في صفحة الويب التي يتم جلبها واستجابة oEmbed، ومصدر iframe مدرج في قائمة السماح. تؤثر هذه المشكلة على سلامة المحتوى لكنها لا تكشف بيانات مقيّدة، ولا تعطّل التوفر، ولا تتطلب التفاعل مع سياسة أمان المحتوى (Content Security Policy) الخاصة بـ Discourse. تم إصلاح هذه المشكلة في الإصدارات 2026.9.0 و2026.8.1 و2026.7.3 و2026.1.9.
المصادر
مضيف حِمل PoC أمني لاختبار oEmbed الخاص بـ CVE-2026-91159 (مكافأة الثغرات المصرّح بها)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.