CVE-2026-91159
Discourse: अनुमत iframe के माध्यम से संग्रहीत oEmbed HTML इंजेक्शन
- प्रकाशित
- 14 अक्टू॰ 2026
- अद्यतन
- 20 अक्टू॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:Nकम · अगले 30 दिन
- प्रतिशत
- 36.2%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Discourse एक ओपन-सोर्स चर्चा प्लेटफ़ॉर्म है। 2026.9.0, 2026.8.1, 2026.7.3 और 2026.1.9 से पहले, oEmbed प्रोसेसिंग एक पूरे हमलावर-नियंत्रित HTML फ़्रैगमेंट को तब विश्वसनीय मान लेती थी जब उस फ़्रैगमेंट में एक iframe होता था जिसका स्रोत कॉन्फ़िगर किए गए allowlist से मेल खाता था। पोस्टिंग अनुमति वाला एक उपयोगकर्ता जो किसी सार्वजनिक वेबपेज और उसकी oEmbed प्रतिक्रिया को नियंत्रित करता था, एक allowlisted iframe को असंबंधित सहोदर HTML या CSS के साथ मिलाकर पोस्ट सामग्री में संग्रहीत दृश्य ओवरले या अन्य स्टाइल की गई सामग्री प्रदर्शित कर सकता था और भ्रामक या धोखाधड़ी वाले उपयोगकर्ता इंटरफ़ेस सक्षम कर सकता था। शोषण के लिए एक पोस्टिंग खाता, फ़ेच किए गए वेबपेज और oEmbed प्रतिक्रिया पर नियंत्रण, और एक allowlisted iframe स्रोत आवश्यक है। यह समस्या सामग्री अखंडता को प्रभावित करती है, लेकिन प्रतिबंधित डेटा को उजागर नहीं करती, उपलब्धता को बाधित नहीं करती, और Discourse Content Security Policy के साथ इंटरैक्शन की आवश्यकता नहीं रखती। यह समस्या संस्करण 2026.9.0, 2026.8.1, 2026.7.3 और 2026.1.9 में ठीक कर दी गई है।
स्रोत
CVE-2026-91159 oEmbed परीक्षण के लिए सुरक्षा PoC पेलोड होस्ट (अधिकृत बग बाउंटी)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।