Discourse の Discourse-ai SharedAiConversation onebox を介したクロスサイトスクリプティング

このXSS脆弱性を悪用されると、攻撃者は悪意のあるJavaScriptコードをDiscourseの投稿に埋め込むことができます。ユーザーがその投稿を閲覧すると、JavaScriptコードが実行され、攻撃者はユーザーのCookieを盗んだり、ユーザーを悪意のあるウェブサイトにリダイレクトしたり、ユーザーの代わりにアクションを実行したりする可能性があります。特に、Discourse AI Botの会話を頻繁に共有する環境では、この脆弱性の影響が大きくなる可能性があります。攻撃者は、この脆弱性を利用して、Discourseコミュニティ全体に影響を与える可能性があります。

Discourse installations utilizing the Discourse AI plugin, particularly those with public forums or where AI Bot conversations are frequently shared, are at risk. Shared hosting environments running Discourse are also vulnerable, as the plugin's security depends on the host's overall security posture.

• discourse: Check Discourse logs for unusual JavaScript execution or suspicious URL patterns in post content. • generic web: Use curl/wget to inspect the HTML source code of posts that onebox AI Bot conversations for injected scripts.

curl -s 'https://your-discourse-site.com/t/example-post' | grep -i '<script>' 

1. 2025-01-14Disclosure

   disclosure

1. 予約済み2024-11-29
2. 公開日2025-01-14
3. 更新日2025-01-15
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、Discourse AIプラグインをバージョン92f122cにアップデートすることを強く推奨します。アップデートが困難な場合は、ai bot public sharing allowed groupsサイト設定からすべてのグループを削除することで、共有機能を無効化できます。これにより、HTMLエンティティの漏洩を防ぎ、XSS攻撃のリスクを軽減できます。アップデート後、Discourseの管理者は、共有された会話に悪意のあるスクリプトが含まれていないか、定期的に確認する必要があります。