- Yama var
- Son 7 gün
- CWE-79
CVE-2017-20290
Discourse'ta /email/unsubscribed üzerinden yansıtılmış siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Discourse 1.9.0.beta2 sürümünden 1.9.0.beta13 sürümünden önceki sürümlere kadar olan sürümlerde, yetkilendirme gerektirmeyen saldırganların /email/unsubscribed yolunun email parametresi üzerinden betik enjekte edebildiği yansıtılmış bir siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Saldırganlar, unsubscribed.html.erb şablonunun kaçışlandırılmadan html_safe ile işlediği SVG onload yüklerini içeren GET istekleri hazırlayabilmekte ve bu sayede kurbanların tarayıcılarında JavaScript çalıştırabilmektedir. Bu açığın sömürüldüğüne dair ilk kanıt, 2023-10-19 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
Discourse 1.9.0.beta2 before 1.9.0.beta13 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject scripts through the email parameter of /email/unsubscribed. Attackers can craft GET requests with SVG onload payloads, which unsubscribed.html.erb renders unescaped via html_safe, executing JavaScript in victims' browsers. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-19.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Discourse | ≥ 1.9.0.beta2, < 1.9.0.beta13 | 1.9.0.beta13 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.