CVE-2026-91159
高已发布
Discourse：通过允许的 iframe 实现存储型 oEmbed HTML 注入
- 已发布
- 2026年10月14日
- 已更新
- 2026年10月20日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年11月4日
初级CVSS
7.7/ 10高
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:N0.4%
低 · 未来 30 天
- 百分位
- 36.2%
- 型号日期
- 2026年11月4日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Discourse 是一个开源讨论平台。在 2026.9.0、2026.8.1、2026.7.3 和 2026.1.9 之前，oEmbed 处理会将整个由攻击者控制的 HTML 片段视为可信，只要该片段包含一个源与配置的允许列表匹配的 iframe。拥有发帖权限且控制某个公共网页及其 oEmbed 响应的用户，可以将允许列表中的 iframe 与不相关的同级 HTML 或 CSS 组合，导致存储的视觉覆盖层或其他样式化内容出现在帖子内容中，从而启用误导性或欺诈性用户界面。利用该漏洞需要发帖账户、对被获取网页和 oEmbed 响应的控制，以及允许列表中的 iframe 源。该问题影响内容完整性，但不会暴露受限数据、破坏可用性，也不要求与 Discourse 内容安全策略交互。该问题已在 2026.9.0、2026.8.1、2026.7.3 和 2026.1.9 版本中修复。
来源
针对 CVE-2026-91159 oEmbed 测试的安全 PoC 载荷托管主机（经授权的漏洞赏金测试）
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。