CVE-2022-39232mediumCWE-20

CVE-2022-39232: falha de média gravidade em discourse

Discourse vulnerable to incomplete quote causing a topic to crash in the browser

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar discourse

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.5epss 1.2%
Em resumo

Uma citação malformada no Discourse pode causar um erro JavaScript que deixa a página do navegador indisponível, afetando a experiência do usuário. Isso ocorre nas versões 2.9.0.beta5 até 2.9.0.beta9 da plataforma aberta de discussão.

Detalhe técnico

Vulnerabilidade CWE-20 (Validação Inadequada de Entrada) no Discourse onde aspas incompletas não passam pela validação e geram um erro JavaScript não tratado, causando negação de serviço no cliente. O vetor de ataque requer capacidade de postar ou editar conteúdo com aspas malformadas; a versão 2.9.0.beta10+ inclui correções de validação para prevenir esse travamento.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Discourse is an open source discussion platform. Starting with version 2.9.0.beta5 and prior to version 2.9.0.beta10, an incomplete quote can generate a JavaScript error which will crash the current page in the browser in some cases. Version 2.9.0.beta10 added a fix and tests to ensure incomplete quotes won't break the app. As a workaround, the quote can be fixed via the rails console.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
discourse · discourse
CVEs relacionadas — discourse

No mesmo produto, das mais perigosas para as menos.

CVE-2024-53991HIGHPotential Backup file leaked via Nginx in DiscourseEPSS 29.9%CVE-2021-41163CRITICALRCE via malicious SNS subscription payloadEPSS 19.8%CVE-2023-45131HIGHUnauthenticated access to new private chat messages in DiscourseEPSS 4.0%CVE-2026-28227LOWDiscourse Vulnerable to Unauthorized Topic Creation in Staff-Only Categories via Topic Timer publish_to_categoryEPSS 3.2%CVE-2022-36066CRITICALDiscourse vulnerable to RCE via admins uploading maliciously zipped fileEPSS 2.1%CVE-2024-47773HIGHAnonymous cache poisoning via XHR requests in DiscourseEPSS 1.8%