CVE-2026-27740

MEDIUM CVSS 4.0: 5,1 EPSS 0.04%
Обновлено 25 марта 2026
Discourse
Параметр Значение
CVSS 5,1 (MEDIUM)
Уязвимые версии 2026.1.0 — 2026.2.1
Устранено в версии 2026.1.2
Тип уязвимости CWE-79 (Межсайтовый скриптинг (XSS))
Поставщик Discourse
Публичный эксплойт Нет

Discourse — это дискуссионная платформа с открытым исходным кодом. Версии до 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 имеют уязвимость межсайтового скриптинга, которая возникает из-за того, что система доверяет необработанным выводам модели большого языка AI (LLM) и отображает их с помощью htmlSafe в интерфейсе очереди проверки без адекватной очистки. Злоумышленник может использовать действительные методы Prompt Injection, чтобы заставить ИИ вернуть вредоносную полезную нагрузку (например, теги).

Когда сотрудник (администратор/модератор) просматривает помеченное сообщение в очереди на просмотр, выполняется полезная нагрузка. Версии 2026.3.0-latest.1, 2026.2.1 и 2026.1.2 содержат исправление. В качестве обходного пути временно отключите сценарии автоматизации сортировки AI.

Показать оригинальное описание (EN)

Discourse is an open-source discussion platform. Versions prior to 2026.3.0-latest.1, 2026.2.1, and 2026.1.2 have a cross-site scripting vulnerability that arises because the system trusts the raw output from an AI Large Language Model (LLM) and renders it using htmlSafe in the Review Queue interface without adequate sanitization. A malicious attacker can use valid Prompt Injection techniques to force the AI to return a malicious payload (e.g., tags). When a Staff member (Admin/Moderator) views the flagged post in the Review Queue, the payload executes. Versions 2026.3.0-latest.1, 2026.2.1, and 2026.1.2 contain a patch. As a workaround, temporarily disable AI triage automation scripts.

Характеристики атаки

Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Пассивное
Минимальное взаимодействие

Последствия

Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы

Строка CVSS v4.0

Уязвимые продукты 3

Конфигурация От (включительно) До (исключительно)
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
2026.1.0 2026.1.2
Discourse Discourse
cpe:2.3:a:discourse:discourse:*:*:*:*:*:*:*:*
2026.2.0 2026.2.1
Discourse Discourse
cpe:2.3:a:discourse:discourse:2026.3.0:*:*:*:latest:*:*:*