CVE-2026-91159
Discourse: iniezione di HTML oEmbed memorizzato tramite iframe consentito
- Pubblicato
- 14 ott 2026
- Aggiornato
- 20 ott 2026
- Assegnazione CNA
- GitHub_M
- Evidenza osservata
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:NBasso · prossimi 30 giorni
- Percentile
- 36,2%
- Data del modello
- 4 nov 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Discourse è una piattaforma di discussione open-source. Prima delle versioni 2026.9.0, 2026.8.1, 2026.7.3 e 2026.1.9, l'elaborazione oEmbed trattava un intero frammento HTML controllato dall'attaccante come attendibile quando il frammento conteneva un iframe la cui origine corrispondeva alla allowlist configurata. Un utente con permessi di pubblicazione che controllava una pagina web pubblica e la relativa risposta oEmbed poteva combinare un iframe presente nella allowlist con HTML o CSS sibling non correlati, causando la visualizzazione di sovrapposizioni visive memorizzate o altri contenuti stilizzati nel contenuto del post e consentendo interfacce utente fuorvianti o fraudolente. Lo sfruttamento richiede un account con permessi di pubblicazione, il controllo della pagina web recuperata e della risposta oEmbed, e un'origine iframe presente nella allowlist. Il problema influisce sull'integrità dei contenuti ma non espone dati riservati, non compromette la disponibilità né richiede interazione con la Content Security Policy di Discourse. Il problema è risolto nelle versioni 2026.9.0, 2026.8.1, 2026.7.3 e 2026.1.9.
Fonti
Host di payload PoC di sicurezza per il test oEmbed di CVE-2026-91159 (bug bounty autorizzato)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.