CVE-2026-32607 Discourse存储型XSS漏洞

Discourse开源讨论平台在特定版本中存在存储型XSS漏洞。当启用隐藏设置`prioritize_full_name_in_ux`时，系统在渲染用户和组全名时未进行HTML转义。拥有分配权限的攻击者可注入恶意代码，导致访问受影响主题的用户浏览器执行任意脚本。

该漏洞源于Discourse在特定配置下的输入验证缺失。当管理员开启`prioritize_full_name_in_ux`（默认关闭）后，系统会在分配相关的UI界面直接显示用户或组的全名。由于渲染层未对全名字段进行HTML实体编码，攻击者可利用“assign”权限，将用户全名修改为包含JavaScript代码的恶意载荷（如`<img src=x onerror=alert(1)>`）。当该用户被分配给主题时，恶意载荷会随页面加载，在其他查看者的浏览器中解析执行，从而窃取会话凭证或进行进一步攻击。