CVE-2022-39232mediumCWE-20

CVE-2022-39232: fallo de gravedad media en discourse

Discourse vulnerable to incomplete quote causing a topic to crash in the browser

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear discourse

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.5epss 1.2%
En resumen

Una cita malformada en Discourse puede causar un error JavaScript que bloquea la página en el navegador, interrumpiendo la experiencia del usuario. Esto afecta a las versiones 2.9.0.beta5 hasta 2.9.0.beta9 de la plataforma abierta de discusión.

Detalle técnico

Vulnerabilidad CWE-20 (Validación Inadecuada de Entrada) en Discourse donde comillas incompletas no superan la validación y generan un error JavaScript no controlado, causando negación de servicio en el cliente. El vector de ataque requiere capacidad de publicar o editar contenido con comillas malformadas; la versión 2.9.0.beta10+ incluye correcciones de validación para prevenir este bloqueo.

Resumen generado y traducido por IA a partir de la descripción oficial.
Discourse is an open source discussion platform. Starting with version 2.9.0.beta5 and prior to version 2.9.0.beta10, an incomplete quote can generate a JavaScript error which will crash the current page in the browser in some cases. Version 2.9.0.beta10 added a fix and tests to ensure incomplete quotes won't break the app. As a workaround, the quote can be fixed via the rails console.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Productos afectados
discourse · discourse
CVEs relacionadas — discourse

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-53991HIGHPotential Backup file leaked via Nginx in DiscourseEPSS 29.9%CVE-2021-41163CRITICALRCE via malicious SNS subscription payloadEPSS 19.8%CVE-2023-45131HIGHUnauthenticated access to new private chat messages in DiscourseEPSS 4.0%CVE-2026-28227LOWDiscourse Vulnerable to Unauthorized Topic Creation in Staff-Only Categories via Topic Timer publish_to_categoryEPSS 3.2%CVE-2022-36066CRITICALDiscourse vulnerable to RCE via admins uploading maliciously zipped fileEPSS 2.1%CVE-2024-47773HIGHAnonymous cache poisoning via XHR requests in DiscourseEPSS 1.8%