🇰🇷 한글 설명
Discourse 플랫폼의 oEmbed 처리 과정에서 허용 목록에 포함된 iframe이 포함될 경우, 공격자가 제어하는 HTML 조각 전체를 신뢰하는 취약점이 발견되었습니다. 이를 통해 공격자는 게시물 내에 시각적 오버레이나 스타일링된 콘텐츠를 삽입하여 사용자에게 기만적인 인터페이스를 보여줄 수 있습니다.
💡 쉬운 설명
허용된 영상이나 콘텐츠를 불러올 때, 공격자가 몰래 가짜 화면이나 버튼을 덧씌워 사용자를 속일 수 있는 문제입니다. 게시물 안에 정상적인 콘텐츠처럼 보이는 가짜 안내창을 띄워 피싱 공격 등에 악용될 수 있습니다.
🇺🇸 원문 (English)
Discourse is an open-source discussion platform. Prior to 2026.9.0, 2026.8.1, 2026.7.3, and 2026.1.9, oEmbed processing treated an entire attacker-controlled HTML fragment as trusted when the fragment contained an iframe whose source matched the configured allowlist. A user with posting permission who controlled a public webpage and its oEmbed response could combine an allowlisted iframe with unrelated sibling HTML or CSS, causing stored visual overlays or other styled content to appear in post content and enabling misleading or fraudulent user interfaces. Exploitation requires a posting account, control of the fetched webpage and oEmbed response, and an allowlisted iframe source. The issue affects content integrity but does not expose restricted data, disrupt availability, or require interaction with Discourse Content Security Policy. This issue is fixed in versions 2026.9.0, 2026.8.1, 2026.7.3, and 2026.1.9.
📍 영향받는 시스템
Discourse 버전 2026.9.0, 2026.8.1, 2026.7.3, 2026.1.9 미만 버전
⚔️ 공격 벡터
공격자가 제어하는 웹페이지의 oEmbed 응답에 허용된 iframe과 악성 HTML/CSS를 혼합하여 게시물에 삽입
🛡️ 대응 방법
Discourse를 최신 보안 패치 버전(2026.9.0, 2026.8.1, 2026.7.3, 2026.1.9 중 하나 이상)으로 업데이트
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(2026.9.0, 2026.8.1, 2026.7.3, 2026.1.9 이상)인지 확인하십시오.
discourse-cli --version 2>/dev/null || echo 'Check your Discourse version via admin panel'