CVE-2026-91159
Discourse: Gespeicherte oEmbed-HTML-Injection über erlaubtes iframe
- Veröffentlicht
- 14.10.2026
- Aktualisiert
- 20.10.2026
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 04.11.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:NNiedrig · nächste 30 Tage
- Perzentil
- 36,2 %
- Modelldatum
- 04.11.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Discourse ist eine Open-Source-Diskussionsplattform. Vor 2026.9.0, 2026.8.1, 2026.7.3 und 2026.1.9 behandelte die oEmbed-Verarbeitung ein vollständig vom Angreifer kontrolliertes HTML-Fragment als vertrauenswürdig, wenn das Fragment ein iframe enthielt, dessen Quelle mit der konfigurierten Allowlist übereinstimmte. Ein Benutzer mit Berechtigung zum Veröffentlichen von Beiträgen, der eine öffentliche Webseite und deren oEmbed-Antwort kontrollierte, konnte ein auf der Allowlist stehendes iframe mit unabhängigem benachbartem HTML oder CSS kombinieren, wodurch gespeicherte visuelle Überlagerungen oder andere gestaltete Inhalte im Beitragsinhalt erschienen und irreführende oder betrügerische Benutzeroberflächen ermöglicht wurden. Die Ausnutzung erfordert ein Konto mit Beitragsberechtigung, die Kontrolle über die abgerufene Webseite und die oEmbed-Antwort sowie eine iframe-Quelle, die auf der Allowlist steht. Das Problem betrifft die Inhaltsintegrität, legt jedoch keine eingeschränkten Daten offen, beeinträchtigt nicht die Verfügbarkeit und erfordert keine Interaktion mit der Discourse Content Security Policy. Dieses Problem ist in den Versionen 2026.9.0, 2026.8.1, 2026.7.3 und 2026.1.9 behoben.
Quellen
Sicherheits-PoC-Payload-Host für CVE-2026-91159 oEmbed-Test (autorisiertes Bug Bounty)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.