CVE-2026-91159
Discurso: Injeção de HTML oEmbed armazenado via iframe permitido
- Publicado
- 14 de out. de 2026
- Atualizado
- 20 de out. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 4 de nov. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:NBaixo · próximos 30 dias
- Percentil
- 36,2%
- Data do modelo
- 4 de nov. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Discourse é uma plataforma de discussão de código aberto. Antes das versões 2026.9.0, 2026.8.1, 2026.7.3 e 2026.1.9, o processamento de oEmbed tratava um fragmento HTML inteiro controlado pelo atacante como confiável quando o fragmento continha um iframe cuja origem correspondia à allowlist configurada. Um usuário com permissão de publicação que controlasse uma página web pública e sua resposta oEmbed poderia combinar um iframe permitido na allowlist com HTML ou CSS irmão não relacionado, fazendo com que sobreposições visuais armazenadas ou outro conteúdo estilizado aparecessem no conteúdo da publicação e possibilitando interfaces de usuário enganosas ou fraudulentas. A exploração requer uma conta com permissão de publicação, controle da página web buscada e da resposta oEmbed, e uma origem de iframe permitida na allowlist. O problema afeta a integridade do conteúdo, mas não expõe dados restritos, não interrompe a disponibilidade nem exige interação com a Content Security Policy do Discourse. Este problema foi corrigido nas versões 2026.9.0, 2026.8.1, 2026.7.3 e 2026.1.9.
Fontes
Host de payload PoC de segurança para teste de oEmbed do CVE-2026-91159 (bug bounty autorizado)
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.