CVE-2026-55674

Nome do Software Vulnerável e Versões Afetadas Discourse versões anteriores a 2026.1.6 Discourse versões anteriores a 2026.5.2 Discourse versões anteriores a 2026.6.1 Discourse versões anteriores a 2026.7.0

Description Um invasor não autenticado pode injetar HTML arbitrário em uma página ao enviar uma requisição contendo um cookie color scheme id ou dark scheme id manipulado. O problema ocorre porque o valor do cookie é renderizado em uma tag de esquema de cores sem a devida filtragem, permitindo que o invasor ignore a Política de Segurança de Conteúdo (CSP) baseada em nonce (uma camada de segurança que ajuda a detectar e bloquear certos tipos de ataques de injeção de código) e execute JavaScript arbitrário nos navegadores dos visitantes.

Recommendations Atualizar para a versão 2026.1.6 Atualizar para a versão 2026.5.2 Atualizar para a versão 2026.6.1 Atualizar para a versão 2026.7.0