🇰🇷 한글 설명
오픈소스 토론 플랫폼인 Discourse의 PrettyText.format_for_email 함수에서 HTML 인젝션 취약점이 발견되었습니다. 조작된 Vimeo iframe 소스나 해시태그 데이터 등을 통해 속성 값이 마크업으로 재해석되어 악성 HTML이 삽입될 수 있습니다. 이 문제는 특정 버전 미만의 Discourse에서 발생합니다.
💡 쉬운 설명
게시판 서비스에서 이메일로 내용을 보낼 때, 특수하게 조작된 링크나 글을 포함하면 공격자가 의도한 악성 코드가 실행될 수 있는 문제입니다. 공격자는 이를 통해 사용자에게 가짜 화면을 보여주거나 정보를 가로챌 수 있습니다.
🇺🇸 원문 (English)
Discourse is an open-source discussion platform. Prior to 2026.1.7, 2026.6.2, 2026.7.1, and 2026.8.0-latest.1, Discourse has HTML injection in PrettyText.format_for_email because cooked attribute values are reparsed as markup. Crafted Vimeo iframe sources, secure-upload URLs or dimensions, and hashtag data-slug values can cause decoded attribute text to be reinterpreted as HTML. The vulnerable conversion also fails to strictly validate the Vimeo iframe host and path, allowing non-Vimeo allowlisted iframes to be converted. This issue is fixed in versions 2026.1.7, 2026.6.2, 2026.7.1, and 2026.8.0-latest.1.
📍 영향받는 시스템
Discourse versions prior to 2026.1.7, 2026.6.2, 2026.7.1, and 2026.8.0-latest.1
⚔️ 공격 벡터
조작된 Vimeo iframe 소스, secure-upload URL, 또는 해시태그 data-slug 값을 이용한 HTML 인젝션
🛡️ 대응 방법
Discourse를 최신 보안 패치가 적용된 버전(2026.1.7, 2026.6.2, 2026.7.1, 2026.8.0-latest.1 이상)으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 결과로 패치된 버전 번호가 출력되면 안전하며, 아무것도 출력되지 않으면 취약할 수 있습니다.
curl -s http://<discourse-host>/version | grep -E '2026.1.7|2026.6.2|2026.7.1|2026.8.0-latest.1'