PT-2024-26398 · Discourse · Discourse

0Xmokusou · Publicado 2024-07-03 · Atualizado 2024-09-18 · CVE-2024-35234

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.2

Média

Vetor base

AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:L

Nome do software vulnerável e versões afetadas

Versões do Discourse anteriores à 3.2.3 no ramo estável

Versões do Discourse anteriores à 3.3.0.beta3 no ramo tests-passed

Descrição

A vulnerabilidade permite que um invasor execute código JavaScript arbitrário nos navegadores dos usuários ao publicar uma URL específica contendo metatags criadas de forma maliciosa. Isso afeta apenas sites com a Política de Segurança de Conteúdo (CSP) desativada.

Recomendações

Para versões anteriores à 3.2.3 no ramo estável, atualize para a versão 3.2.3 ou posterior.

Para versões anteriores à 3.3.0.beta3 no ramo tests-passed, atualize para a versão 3.3.0.beta3 ou posterior.

Como solução temporária, certifique-se de que a Política de Segurança de Conteúdo (CSP) esteja ativada no fórum.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BIT-DISCOURSE-2024-35234

CVE-2024-35234

GHSA-5CHG-HM8C-WC58

Produtos afetados

Discourse

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/35xxx/CVE-2024-35234.json · Exploit
• https://github.com/discourse/discourse/security/advisories/GHSA-5chg-hm8c-wc58 · Nota
• https://github.com/discourse/discourse/commit/26aef0c288839378b9de5819e96eac8cf4ea60fd · Correção
• https://github.com/discourse/discourse/commit/311b737c910cf0a69f61e1b8bc0b78374b6619d2 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-35234 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-35234 · Aviso do Fabricante
• https://t.me/cvenotify/95089 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-discourse-2024-35234 · Aviso do Fabricante