CVE-2026-91123

Nome do Software Vulnerável e Versões Afetadas Discourse versões anteriores a 2026.1.8 Discourse versões anteriores a 2026.6.3 Discourse versões anteriores a 2026.7.2 Discourse versões anteriores a 2026.8.0

Description O guardião de travessia de src de iframe não trata barras invertidas literais como separadores de caminho após segmentos de ponto decodificados. Isso permite que uma fonte manipulada ignore a verificação de subcaminho allowed iframes, pois a normalização de URL do navegador pode mover o iframe para fora do caminho permitido, possibilitando o carregamento de conteúdo de locais não autorizados pelo administrador.

Recommendations Atualizar para a versão 2026.1.8 Atualizar para a versão 2026.6.3 Atualizar para a versão 2026.7.2 Atualizar para a versão 2026.8.0