CVE-2026-91159
Discourse : injection HTML oEmbed stockée via une iframe autorisée
- Publié
- 14 oct. 2026
- Mise à jour
- 20 oct. 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 4 nov. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:NFaible · 30 prochains jours
- Percentile
- 36,2 %
- Date du modèle
- 4 nov. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Discourse est une plateforme de discussion open source. Avant les versions 2026.9.0, 2026.8.1, 2026.7.3 et 2026.1.9, le traitement oEmbed considérait l'intégralité d'un fragment HTML contrôlé par un attaquant comme fiable lorsque ce fragment contenait une iframe dont la source correspondait à la liste d'autorisation configurée. Un utilisateur disposant de la permission de publication et contrôlant une page web publique ainsi que sa réponse oEmbed pouvait combiner une iframe autorisée avec du HTML ou du CSS frère non lié, provoquant l'apparition de superpositions visuelles stockées ou d'autres contenus stylisés dans le contenu des publications, et permettant la création d'interfaces utilisateur trompeuses ou frauduleuses. L'exploitation nécessite un compte de publication, le contrôle de la page web récupérée et de la réponse oEmbed, ainsi qu'une source d'iframe figurant dans la liste d'autorisation. Le problème affecte l'intégrité du contenu mais n'expose pas de données restreintes, ne perturbe pas la disponibilité et ne nécessite aucune interaction avec la Content Security Policy de Discourse. Ce problème est corrigé dans les versions 2026.9.0, 2026.8.1, 2026.7.3 et 2026.1.9.
Sources
Hôte de charge utile PoC de sécurité pour le test oEmbed de CVE-2026-91159 (bug bounty autorisé)
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.