Veille sécuritéFrontend
P4Moyenne
Discourse 1.9.0.beta2 à une version antérieure à 1.9.0.beta13 présente une vulnérabilité XSS réfléchie dans la page de désinscription par courriel. La fiche NVD est datée du 2026-10-22 ; aucun correctif ni conseil d’action n’est fourni dans les éléments transmis.
JavaScript
IdentifiantCVE-2017-20290
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif1.9.0.beta13
Source : NVD — CVE-2017-20290
Analyse technique
Le paramètre email de /email/unsubscribed est rendu sans échappement. Les observations d’exploitation signalées datent du 2023-10-19, hors période.
Impact, versions et correctif
Événement datéPublication NVD indiquée le 2026-10-22T11:17:03.220Z, dans la période demandée ; l’exploitation rapportée date de 2023.
ImpactExécution de script dans le navigateur d’un utilisateur ciblé par une requête forgée.
Versions affectéesDiscourse 1.9.0.beta2 à avant 1.9.0.beta13
Version corrigée1.9.0.beta13
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-22T13:17:03.220+02:00
Mise à jour2026-10-22T13:17:03.360+02:00
Action recommandée
Mettre à niveau vers Discourse 1.9.0.beta13 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).