PT-2024-20113 · Discourse · Discourse

Gingermanymph · Publicado 2024-01-30 · Atualizado 2024-03-06 · CVE-2024-23834

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do software vulnerável e versões afetadas

Versões do Discourse anteriores à 3.1.5

Versões do Discourse anteriores à 3.2.0.beta5

Descrição

O Discourse é uma plataforma de discussão de código aberto. Entradas de usuário que não tenham sido devidamente sanitizadas podem levar a uma vulnerabilidade XSS em algumas situações. Esta vulnerabilidade afeta apenas instâncias do Discourse que tenham desativado a Política de Segurança de Conteúdo (CSP) padrão.

Recomendações

Para versões anteriores à 3.1.5, atualize para a versão 3.1.5 ou posterior.

Para versões anteriores à 3.2.0.beta5, atualize para a versão 3.2.0.beta5 ou posterior.

Como solução temporária, certifique-se de que a Política de Segurança de Conteúdo esteja ativada e não inclua unsafe-inline.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-DISCOURSE-2024-23834

CVE-2024-23834

GHSA-RJ3G-8Q6P-63PC

Produtos afetados

Discourse

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/23xxx/CVE-2024-23834.json · Exploit
• https://github.com/discourse/discourse/security/advisories/GHSA-rj3g-8q6p-63pc · Aviso do Fabricante
• https://github.com/discourse/discourse/commit/568d704a94c528b7c2cb0f3512a7b7b606bc3000 · Correção
• https://meta.discourse.org/t/3-2-0-beta5-add-groups-to-dms-mobile-chat-footer-redesign-passkeys-enabled-by-default-and-more/293093 · Aviso do Fabricante
• https://twitter.com/RedPacketSec/status/1754083395661975951 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1752477021660176470 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-23834 · Nota de Segurança
• https://meta.discourse.org/t/3-1-5-security-and-bug-fix-release/293094 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1752449715344457899 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-discourse-2024-23834 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-23834 · Aviso do Fabricante
• https://t.me/cvenotify/69321 · Publicação no Telegram