CVE-2023-51447

Decidim bir katılımcı demokrasi çerçevesidir. Versiyon 0.27.0'dan başlayarak 0.27.5 ve 0.28.0 versiyonlarından önceye kadar olan sürümlerde, saldırganın sunucuya yüklenen kayıtların dosya adlarını değiştirmeyi başarması durumunda dinamik dosya yükleme özelliği potansiyel siteler arası betik çalıştırma (XSS) saldırılarına açıktır. Bu durum, kullanıcının dosya yükleme diyaloglarını kendisinin kontrol ettiği ve dinamik yükleme uç noktası üzerinden dosya adlarını değiştirmek için teknik bilgiye sahip olduğu bölümlerde ortaya çıkmaktadır. Bu nedenle, saldırganın ilgili kullanıcının tüm oturumunu kontrol etmesi gerekeceği düşünülse de her durumda bu sorunun giderilmesi gerekmektedir. Bu zafiyetin başarıyla istismar edilmesi için kullanıcının kötü amaçlı bir dosya adı ile sunucuya bir dosya bloğu yüklemiş olması ve ardından diğer kullanıcıyı eklerin bulunduğu kaydın düzenleme sayfasına yönlendirme imkanına sahip olması gerekir. Kullanıcılar, veritabanına kaydedilen dosya adını kontrol ederek doğrudan yükleme isteklerini kendileri oluşturabilmektedir. Saldırganlar, bu istekleri nasıl oluşturacaklarını biliyorlarsa dosya adını örneğin `<svg onload=alert('XSS')>` şeklinde değiştirebilirler ve ardından düzenleme sayfası kaynağını değiştirerek döndürülen blob ID'sini form girişlerine manuel olarak girebilirler. Versiyon 0.27.5 ve 0.28.0 bu sorun için bir yama içermektedir. Geçici bir çözüm olarak, örneklem için dinamik yüklemeleri (örneğin tekliflerden) devre dışı bırakın.