CVE-2026-91159
Discurso: Inyección de HTML oEmbed almacenado mediante iframe permitido
- Publicado
- 14 oct 2026
- Actualizado
- 20 oct 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:NBajo · próximos 30 días
- Percentil
- 36,2 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Discourse es una plataforma de discusión de código abierto. Antes de 2026.9.0, 2026.8.1, 2026.7.3 y 2026.1.9, el procesamiento de oEmbed trataba un fragmento HTML completo controlado por el atacante como confiable cuando el fragmento contenía un iframe cuya fuente coincidía con la lista de permitidos configurada. Un usuario con permiso de publicación que controlara una página web pública y su respuesta oEmbed podía combinar un iframe incluido en la lista de permitidos con HTML o CSS hermano no relacionado, provocando que superposiciones visuales almacenadas u otro contenido con estilos apareciera en el contenido de la publicación y permitiendo interfaces de usuario engañosas o fraudulentas. La explotación requiere una cuenta con permiso de publicación, el control de la página web obtenida y de la respuesta oEmbed, y una fuente de iframe incluida en la lista de permitidos. El problema afecta la integridad del contenido, pero no expone datos restringidos, no interrumpe la disponibilidad ni requiere interacción con la Política de Seguridad de Contenido (Content Security Policy) de Discourse. Este problema está corregido en las versiones 2026.9.0, 2026.8.1, 2026.7.3 y 2026.1.9.
Fuentes
Host de payload PoC de seguridad para la prueba de oEmbed de CVE-2026-91159 (bug bounty autorizado)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.