CVE-2026-91120

Nome do Software Vulnerável e Versões Afetadas Discourse versões anteriores a 2026.1.8 Discourse versões anteriores a 2026.6.3 Discourse versões anteriores a 2026.7.2 Discourse versões anteriores a 2026.8.0

Description Títulos de vídeo controlados pelo provedor em incorporações de vídeo lazy (carregamento tardio) podem ser reanalisados como HTML durante a geração de e-mails de notificação ou resumos de chat. Um usuário com privilégios de postagem padrão pode criar uma postagem usando provedores habilitados, como YouTube, Vimeo ou TikTok. Se o título do vídeo contiver marcação, o caminho de renderização para e-mails e resumos de chat insere essa marcação na saída em vez de tratá-la apenas como texto. Isso permite que destinatários que utilizam clientes de e-mail compatíveis com HTML visualizem conteúdo injetado, que pode incluir manipuladores de eventos. Este problema requer que as incorporações de vídeo lazy estejam habilitadas, que é a configuração padrão, mas não afeta a página do fórum nem expõe sessões do navegador.

Recommendations Atualize para a versão 2026.1.8. Atualize para a versão 2026.6.3. Atualize para a versão 2026.7.2. Atualize para a versão 2026.8.0.