CVE-2026-91134

Nome do Software Vulnerável e Versões Afetadas Discourse versões anteriores a 2026.1.8 Discourse versões anteriores a 2026.6.3 Discourse versões anteriores a 2026.7.2 Discourse versões anteriores a 2026.8.0

Description O sanitizador de postagens permite que um iframe de origem cruzada armazenado ignore a política de prefixo allowed iframes quando o src do iframe contém informações de usuário (userinfo) codificadas. Isso ocorre porque o sanitizador valida uma forma decodificada de maneira diferente do src do iframe armazenado, permitindo que o navegador interprete um host controlado por um invasor enquanto a verificação da lista de permissões aceita a URL codificada como um prefixo permitido. Um usuário autenticado com privilégios de postagem pode persistir o iframe em uma postagem para renderizar conteúdo de origem cruzada controlado por um invasor.

Recommendations Atualize para a versão 2026.1.8. Atualize para a versão 2026.6.3. Atualize para a versão 2026.7.2. Atualize para a versão 2026.8.0.