CVE-2026-33073
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Discourse z wtyczką discourse-subscriptions w wersjach od 2026.1.0 do 2026.1.3, od 2026.2.0 do 2026.2.2 oraz od 2026.3.0 do 2026.3.0 ujawnia klucze API Stripe między witrynami w klastrze wielostanowiskowym. Może to prowadzić do wycieku informacji związanych ze Stripe między witrynami w tym samym klastrze.
Ocena ryzyka
Wyciek kluczy API Stripe może umożliwić atakującemu dostęp do danych płatniczych i dokonywanie nieautoryzowanych transakcji.
Rekomendacja
Zaktualizuj Discourse do wersji 2026.1.3, 2026.2.2 lub 2026.3.0, które zawierają poprawkę. Sprawdź konfigurację klastra pod kątem izolacji danych.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.3, 2026.2.0-latest to before 2026.2.2, and 2026.3.0-latest to before 2026.3.0, the discourse-subscriptions plugin leaks stripe API keys across sites in a multisite cluster resulting in the potential for stripe related information to be leaked across sites within the same multisite cluster. This issue has been patched in versions 2026.1.3, 2026.2.2, and 2026.3.0.