CVE-2026-91159
Discourse: 許可されたiframeを介した保存型oEmbed HTMLインジェクション
- 公開済み
- 2026/10/14
- 更新済み
- 2026/10/20
- CNA の割り当て
- GitHub_M
- 観察された証拠
- 2026/11/04
プライマリ CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N低 · 今後 30 日間
- パーセンタイル
- 36.2%
- モデルの日付
- 2026/11/04
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
Discourseはオープンソースのディスカッションプラットフォームです。2026.9.0、2026.8.1、2026.7.3、および2026.1.9より前のバージョンでは、oEmbed処理において、攻撃者が制御するHTMLフラグメント全体が、設定された許可リストに一致するソースを持つiframeを含んでいる場合に、そのフラグメント全体が信頼済みとして扱われていました。投稿権限を持ち、公開ウェブページとそのoEmbedレスポンスを制御するユーザーは、許可リストに登録されたiframeを無関係な兄弟HTMLやCSSと組み合わせることで、投稿コンテンツ内に保存型の視覚的オーバーレイやその他のスタイル付きコンテンツを表示させ、誤解を招く、または詐欺的なユーザーインターフェースを実現できる可能性がありました。悪用には、投稿アカウント、取得されるウェブページとoEmbedレスポンスの制御、および許可リストに登録されたiframeソースが必要です。この問題はコンテンツの完全性に影響しますが、制限されたデータを露出させたり、可用性を妨害したり、Discourse Content Security Policyとの相互作用を必要としたりするものではありません。この問題はバージョン2026.9.0、2026.8.1、2026.7.3、および2026.1.9で修正されています。
ソース
CVE-2026-91159 oEmbedテスト用のセキュリティPoCペイロードホスト（許可されたバグバウンティ）
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。