PT-2022-27764 · Discourse · Discourse
1Twodrei
·
Publicado
2022-11-29
·
Atualizado
2024-03-06
·
CVE-2022-46148
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Discourse versões 2.8.10 e anteriores
Discourse versões 2.9.0.beta11 e anteriores
Descrição
O Discourse é uma plataforma de mensagens de código aberto. Usuários que redigirem mensagens maliciosas e acessarem a página de rascunhos podem realizar um auto-XSS. Esse problema pode levar a um XSS completo em sites que tenham modificado ou desativado a Política de Segurança de Conteúdo (CSP) padrão do Discourse.
Recomendações
Para as versões 2.8.10 e anteriores, atualize para a versão estável mais recente do Discourse.
Para as versões 2.9.0.beta11 e anteriores, atualize para a versão beta mais recente ou para a versão que passou nos testes do Discourse.
Como solução temporária, considere restringir o acesso à página de rascunhos até que um patch esteja disponível.
Evite usar configurações modificadas ou desativadas da Política de Segurança de Conteúdo para minimizar o risco de exploração.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Discourse