オープンソースのフォーラムプラットフォーム「Discourse」で新たに公開された2件の脆弱性により、認証不要の攻撃者が匿名の訪問者に対してJavaScriptを実行したり、最小限の権限のユーザーとしてサーバー上のファイルを読み取ったりできることが明らかになりました。
2026年10月7日に公開された調査によると、これらの欠陥は、2万2,000を超えるコミュニティが利用するこのフォーラムプラットフォームの既定の構成に影響します。2件はいずれも6月に報告され、その後修正されています。
Discourseは元の文字列を保持したうえで、HTMLエスケープを行わずにスタイルシートのリンクへ挿入していました。このため、攻撃者が制御するマークアップがレスポンスに紛れ込む状態になっていました。
その結果、ページパスやUser-Agentなど同じキャッシュパラメーターに合致するリクエストを送った後続の匿名訪問者に、悪意あるレスポンスが配信される可能性がありました。攻撃者は複数のパスや一般的なブラウザー識別子を汚染することで、サイト全体に影響範囲を広げることができます。
DiscourseのContent Security Policy（CSP）は単純なスクリプトインジェクションを防いでいましたが、信頼されたブートローダーを経由する回避策が存在しました。ブートローダーは初期化の際、data-plugin-name属性を持つmodulepreloadリンクを選択し、そのURLを動的にインポートします。
条件に合致するリンクを注入すると、信頼されたアプリケーションコードが攻撃者のホストするJavaScriptモジュールを読み込み、フォーラムのオリジン内で実行してしまいます。インポートを成功させるには、リモートサーバー側で適切なクロスオリジンリソース共有（CORS）ヘッダーを設定しておく必要があります。
2件目の脆弱性であるCVE-2026-55420は、画像アップロードにおけるTOCTOU（time-of-check-to-time-of-use）競合状態に関するものです。信頼レベル0のアカウントでも、プロフィール画像機能を通じて悪用できます。
研究者らは、一貫性のない形式検出、緩いImageMagick設定、GhostScriptへの処理委譲、一時ファイルの差し替えを組み合わせ、GhostScriptのゼロデイ脆弱性を突くことなく、任意のファイルの読み書きが可能な状態に到達しました。
JPEG XLとPostScriptのポリグロットファイルは、PDF拡張子を保ったままFastImageの画像チェックを通過しました。支配的な色の計算時に、ImageMagickはこの拡張子をPDFの処理経路で解釈し、PostScriptモジュールをブロックするポリシーがあるにもかかわらず、GhostScriptを呼び出しました。
これとは別に、アプリケーションマーカーで水増ししたJPEGを使うと、jpegoptimの処理が約25秒まで遅延し、検証から後続処理までの間隔が広がりました。
この間に、アトミックなファイル置換によって、検証済みのJPEGデータがSVGの内容にすり替えられます。その後、ImageMagick内部のMSVGパーサーがMagick Scripting Languageを呼び出し、サーバーがファイルの内容を画像として描画して、続くアップロードを通じて取得できるようになります。
slcyberはファイルの漏えいを実証しました。サーバー上でのコード実行への権限昇格は、可能性としては残るものの、実証された結果ではありません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/discourse-vulnerabilities/
