CVE-2026-33074
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Discourse w wersjach od 2026.1.0 do przed 2026.1.3, od 2026.2.0 do przed 2026.2.2 oraz od 2026.3.0-latest do przed 2026.3.0 umożliwia użytkownikowi zakup subskrypcji niższego poziomu, ale uzyskanie korzyści przypisanych do wyższego poziomu subskrypcji.
Ocena ryzyka
Użytkownicy mogą nieuczciwie uzyskać dostęp do funkcji premium bez odpowiedniej opłaty, co prowadzi do strat finansowych i naruszenia modelu biznesowego platformy.
Rekomendacja
Zaktualizuj Discourse do wersji 2026.1.3, 2026.2.2 lub 2026.3.0, które zawierają poprawkę. Sprawdź i skoryguj nieprawidłowe przypisania subskrypcji.
Oryginalny opis (angielski, źródło NVD)
Discourse is an open-source discussion platform. From versions 2026.1.0-latest to before 2026.1.3, 2026.2.0-latest to before 2026.2.2, and 2026.3.0-latest to before 2026.3.0, a user may be able to purchase a lower tier subscription but grant themselves the benefits that comes along with a higher tier subscription. This issue has been patched in versions 2026.1.3, 2026.2.2, and 2026.3.0.