Descripción original
Discourse 1.9.0.beta2 before 1.9.0.beta13 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject scripts through the email parameter of /email/unsubscribed. Attackers can craft GET requests with SVG onload payloads, which unsubscribed.html.erb renders unescaped via html_safe, executing JavaScript in victims' browsers. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-19.
Software afectado
- Discourse ≥ 1.9.0.beta2 < 1.9.0.beta13 Corregido en: 1.9.0.beta13 coincidencia por repositorio o paquete
Detalles
- Publicación
- 2026-10-22
- Última modificación
- 2026-11-06
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N- CWE
- CWE-79
Referencias
- cve.org/CVE-2017-20290
- nvd.nist.gov/vuln/detail/CVE-2017-20290
- github.com/discourse/discourse/commit/a6f2533d38
- github.com/discourse/discourse/commit/6e37f09b19
- github.com/projectdiscovery/nuclei-templates/blob/main/http/vulnerabilities/other/discours...
- www.vulncheck.com/advisories/discourse-1.9.0-beta13-reflected-xss-via-email-unsubscribed
Controla estas versiones en tus propios servidores
InfraGuard recopila las versiones de software instaladas en cada servidor y señala las que tienen vulnerabilidades conocidas. Autoalojado: nada sale de tu red.
Este producto utiliza datos de la API del NVD, pero no está avalado ni certificado por el NVD. CVE® es una marca registrada de The MITRE Corporation; los registros CVE se utilizan conforme a los Términos de uso del CVE Program.