CVE-2023-48220
Açıklama
Decidim bir katılımcı demokrasi çerçevesidir. `devise_invitable` gem'inin 0.4.rc3 versiyonundan başlayarak 2.0.9 versiyonundan önceki sürümlerinde, davet özelliği kullanıcıların şifre sıfırlama işlevi aracılığıyla daveti sınırsız süre boyunca kabul etmelerine izin vermektedir. Bu sorun; `decidim`, `decidim-admin` ve `decidim-system` gem'lerinin 0.0.1.alpha3 versiyonundan başlayarak 0.26.9, 0.27.5 ve 0.28.0 versiyonlarından önceki sürümlerinde savunmasız bağımlılıklar oluşturmaktadır. Şifre sıfırlama işlevi kullanıldığında, `devise_invitable` gem'i eğer kullanıcı davet edilmişse bekleyen daveti her zaman kabul eder. Yapılan tek kontrol kullanıcının davet edilip edilmediğidir ancak kod, bekleyen davetin `invite_for` sona erme süresi tarafından tanımlandığı şekilde hala geçerli olduğunu garanti etmez. Decidim bu yapılandırmayı `2.weeks` olarak ayarlar, dolayısıyla bu yapılandırmaya uyulmalıdır. Hata `devise_invitable` gem'indedir, orada düzeltilmeli ve düzeltme mevcut olduğunda Decidim'deki bağımlılık yükseltilmelidir. `devise_invitable` versiyon `2.0.9` ve üzeri bu sorunu düzeltmektedir. `decidim`, `decidim-admin` ve `decidim-system` gem'lerinin 0.26.9, 0.27.5 ve 0.28.0 versiyonları bu düzeltmeyi içermektedir. Geçici bir çözüm olarak, davetler doğrudan veritabanından iptal edilebilir.
Nasıl düzeltilir
- decidim decidim0.26.9, 0.27.5 ya da sonraki bir sürüm
- scambra devise_invitable2.0.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| decidim decidim | 0.0.2 ≤ v < 0.26.9, 0.27.0 ≤ v < 0.27.5, 0.0.1 | 0.26.9, 0.27.5 |
| scambra devise_invitable | 0.4.1 ≤ v < 2.0.9, 0.4.0 | 2.0.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.