Discourse — дискуссионная платформа с открытым исходным кодом. До версий 2025.12.2, 2026.1.1 и 2026.2.0 полное имя пользователя можно было оценить как необработанный HTML, если установлены следующие настройки: `display_name_on_posts` => true; и `prioritize_username_in_ux` => false. Редактирование сообщения злонамеренного пользователя может вызвать XSS.
Версии 2025.12.2, 2026.1.1 и 2026.2.0 устраняют проблему. Никаких известных обходных путей не существует.
Показать оригинальное описание (EN)
Discourse is an open source discussion platform. Prior to versions 2025.12.2, 2026.1.1, and 2026.2.0, a user full name can be evaluated as raw HTML when the following settings are set: `display_name_on_posts` => true; and `prioritize_username_in_ux` => false. Editing a post of a malicious user would trigger an XSS. Versions 2025.12.2, 2026.1.1, and 2026.2.0 patch the issue. No known workarounds are available.
Характеристики атаки
Последствия
Строка CVSS v4.0