Discourse Stored XSS Vulnerability

漏洞信息

漏洞名称： Discourse Stored XSS Vulnerability

漏洞编号：

• CVE： CVE-2024-52794

漏洞类型： 跨站可执行脚本

漏洞等级： 高危

漏洞描述： Discourse是一个开源的现代论坛软件，广泛用于构建在线社区和讨论平台。它支持多种功能，如话题分类、用户互动、内容管理等，适用于各种规模的社区和企业。由于其易用性和强大的功能，Discourse在全球范围内被广泛部署和使用。该漏洞存在于Discourse中，具体是通过图像文件名触发的存储型跨站脚本（XSS）漏洞。攻击者可以通过上传带有恶意脚本的图像文件，当其他用户查看包含该图像的页面时，恶意脚本将在其浏览器中执行。这种漏洞的根源在于Discourse对用户上传的文件名未进行充分的输入验证和过滤，导致恶意脚本能够被存储并在其他用户的上下文中执行。这种漏洞的危害性较高，因为它允许攻击者在受害者的浏览器中执行任意JavaScript代码，可能导致会话劫持、敏感信息泄露或其他恶意操作。由于这是一个存储型XSS漏洞，攻击者无需与受害者进行直接交互，只需诱使受害者访问包含恶意图像的页面即可触发漏洞。因此，该漏洞对Discourse平台的安全性构成了严重威胁，需要及时修补以防止潜在的大规模攻击。

产品厂商： Discourse

产品名称： Discourse

来源： https://github.com/Beesco00/CVE-2024-52794-Discourse-Stored-XSS

类型： CVE-2024:github search

仓库文件

• README.md

来源概述

CVE-2024-52794-Discourse-Stored-XSS

Stored XSS in Discourse via image filename - CVE-2024-52794