CVE-2026-27166

MEDIUM CVSS 3.1: 5,4 EPSS 0.03%
Обновлено 25 марта 2026
Discourse
Параметр Значение
CVSS 5,4 (MEDIUM)
Уязвимые версии 2026.1.0 — 2026.3.0
Устранено в версии 2026.3.0
Тип уязвимости CWE-80 (Недостаточная фильтрация HTML-тегов (XSS))
Поставщик Discourse
Публичный эксплойт Нет

Discourse — дискуссионная платформа с открытым исходным кодом. До версий 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 недостаточная очистка в разрешенном по умолчанию значении iframes в Codepen позволяет злоумышленнику обманом заставить пользователя изменить URL-адрес главной страницы. Эта проблема исправлена ​​в версиях 2026.3.0-latest.1, 2026.2.1 и 2026.1.2.

Чтобы обойти эту проблему, удалите Codepen из списка разрешенных iframe.

Показать оригинальное описание (EN)

Discourse is an open source discussion platform. Prior to versions 2026.3.0-latest.1, 2026.2.1 and 2026.1.2, insufficient cleanup in the default Codepen allowed iframes value allows an attacker to trick a user into changing the URL of the main page. This issue has been fixed in versions 2026.3.0-latest.1, 2026.2.1 and 2026.1.2. To workaround this issue, remove Codepen from the list of allowed iframes.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Требуется
Нужно действие пользователя

Последствия

Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v3.1

Уязвимые продукты 4

Конфигурация От (включительно) До (исключительно)
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
2026.3.0
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
2026.1.0 2026.1.2
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
2026.2.0 2026.2.1
Discourse Discourse
cpe:2.3:a:discourse:discourse:2026.3.0:*:*:*:latest:*:*:*