CVE-2023-51447

Decidim iştirakçı demokratiya freymvorkudur. Versiya 0.27.0-dan başlayaraq və 0.27.5 və 0.28.0 versiyalarından əvvəlki versiyalarda, hücum edən serverə yüklənən qeydlərin fayl adlarını dəyişdirə bilsə, dinamik fayl yükləmə funksiyası potensial saytlararası skriptinq (XSS) hücumlarına məruz qala bilər. Bu, istifadəçinin fayl yükləmə dialoqlarını idarə etdiyi və dinamik yükləmə son nöqtəsi (endpoint) vasitəsilə fayl adlarını dəyişdirmək üçün texniki biliyə malik olduğu bölmələrdə baş verir. Buna görə də, hesab olunur ki, bu, hücum edəndən müəyyən bir istifadəçinin bütün sessiyasını idarə etməsini tələb edir, lakin hər bir halda, bu problem aradan qaldırılmalıdır. Bu zəifliyin uğurlu istismarı üçün istifadəçi serverə zərərli fayl adı ilə fayl blobu yükləməli və daha sonra digər istifadəçini həmin qoşmanın əlavə edildiyi qeydin redaktə səhifəsinə yönləndirmə imkanına malik olmalıdır. İstifadəçilər verilənlər bazasında saxlanılan fayl adını idarə edərək birbaşa yükləmə sorğularını özləri hazırlaya bilirlər. Hücum edən, əgər bu sorğuları necə hazırlayacağını bilirsə, fayl adını, məsələn, `<svg onload=alert('XSS')>` kimi dəyişdirə bilir və daha sonra redaktə səhifəsinin mənbə kodunu dəyişdirərək qaytarılan blob ID-ni forma girişlərinə əllə daxil edə bilir. Versiyalar 0.27.5 və 0.28.0 bu problem üçün yamı ehtiva edir. Müvəqqəti həll yolu kimi, instansiya üçün dinamik yükləmələri, məsələn, təkliflərdən (proposals) söndürün.