DiscordChatExporter saves Discord chat logs to a file. Prior to 2.47.2, HTML exports generated with markdown formatting…
Summary
Cross-site scripting reported (CVE-2026-54682). Confidential information can be exposed externally. Exploitable via MessageGroupTemplate.cshtml.
Original description
The description as published by the source.
DiscordChatExporter saves Discord chat logs to a file. Prior to 2.47.2, HTML exports generated with markdown formatting disabled pass attacker-controlled content through FormatMarkdownAsync and FormatEmbedMarkdownAsync in DiscordChatExporter.Core/Exporting/MessageGroupTemplate.cshtml and render it without HTML entity encoding. The affected fields include message.Content, message.ForwardedMessage.Content, message.ReferencedMessage.Content, embed.Title, embed.Description, field.Name, and field.Value. A Discord webhook or bot can store a script payload in these fields, and the payload executes when a user exports the channel with markdown formatting disabled and opens the resulting HTML, allowing the script to read the export or alter its displayed content. This issue is fixed in version 2.47.2.
Source: NIST National Vulnerability Database NVD
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
DiscordChatExporterにおける脆弱性により、HTMLエクスポート時に攻撃者制御のコンテンツがエンコードされずに実行される可能性があります。これにより、スクリプトがユーザーに表示されたり、エクスポートされたデータが変更されたりする恐れがあります。問題はバージョン2.47.2で解決済みです。
DiscordChatExporterでエンコードされていないユーザー提供のコンテンツが実行される脆弱性。
DiscordChatExporterのバージョン2.47.2以前。
ユーザーがエクスポートされたHTMLファイルを開くときにスクリプトが実行され、情報漏洩や表示変更が発生する可能性があるため重大。
DiscordChatExporterをバージョン2.47.2にアップデートする。
情報なし
HTMLエクスポート時に表示異常や不正なスクリプトの挙動を確認する。