Heimdall Security Logo

CVE-2026-72720

Vulnérabilité moyenne dans discourse (discourse)

CVSS 6.4 · Moyenne
EPSS 0.4%
discourse•discourse•Versions : >= 2026.6.0-latest, < 2026.6.2, >= 2026.7.0-latest, < 2026.7.1, >= 2026.8.0-latest, < 2026.8.0-latest.1, < 2026.1.7

Description

Discourse is an open-source discussion platform. Prior to 2026.1.7, 2026.6.2, 2026.7.1, and 2026.8.0-latest.1, Discourse has HTML injection in PrettyText.format_for_email because cooked attribute values are reparsed as markup. Crafted Vimeo iframe sources, secure-upload URLs or dimensions, and hashtag data-slug values can cause decoded attribute text to be reinterpreted as HTML. The vulnerable conversion also fails to strictly validate the Vimeo iframe host and path, allowing non-Vimeo allowlisted iframes to be converted. This issue is fixed in versions 2026.1.7, 2026.6.2, 2026.7.1, and 2026.8.0-latest.1.

Gravité et risque d'exploitation

CVE-2026-72720 obtient un score CVSS de 6.4/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.41 %, ce qui la place devant 33.6 % des CVE référencées.

Que faire ?

  • Vérifiez si discourse (versions >= 2026.6.0-latest, < 2026.6.2, >= 2026.7.0-latest, < 2026.7.1, >= 2026.8.0-latest, < 2026.8.0-latest.1, < 2026.1.7) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE