CVE-2026-40870

Decidim bir katılımcı demokrasi çerçevesidir. Versiyon 0.0.1'den başlayarak 0.30.5 ve 0.31.1 versiyonlarından önceki sürümlerde, API'deki kök düzey `commentable` alanı, herhangi bir izin kontrolü olmaksızın platform içindeki tüm yorumlanabilir kaynaklara erişime izin vermektedir. `/api` uç noktasını güvenli hale getirmemiş olan tüm Decidim örnekleri etkilenmektedir. Varsayılan yapılandırmada `/api` uç noktası herkese açıktır. 0.30.5 ve 0.31.1 versiyonları bu sorunu düzeltmektedir. Geçici bir çözüm olarak, `/api` uç noktasına erişimi kısıtlayarak kapsamı yalnızca kimliği doğrulanmış kullanıcılarla sınırlandırın. Bu işlem özel kod veya üçüncü taraf modül olan `Decidim::Apiauth` kurulumu gerektirir. Özel kod ile `/api` uç noktası yalnızca kimliği doğrulanmış kullanıcılarla sınırlandırılabilir. Aynı yapılandırma, `/api` uç noktasına gelen tüm trafiği devre dışı bırakmak için `allow` ifadeleri olmadan da kullanılabilir. Bir geçici çözüm ve güvenlik açığının ciddiyeti değerlendirilirken lütfen platformun doğasını göz önünde bulundurun. Eğer platform öncelikle kamuya açık veriler sunuyorsa, bu güvenlik açığı doğası gereği ciddi değildir. Platform bazı kaynakları koruyorsa (örneğin özel katılım alanları içinde), güvenlik açığı saldırgana kamuya açıklanmaması gereken bazı verileri ifşa edebilir. "Kuruluşa erişmeden önce kullanıcıların kimlik doğrulamaya zorla" organizasyon ayarını etkinleştirenler için bu güvenlik açığının kapsamı, Decidim platformuna giriş yapmasına izin verilen kullanıcılarla sınırlıdır. Bu ayar versiyon 0.19.0'da tanıtılmış ve versiyon 0.22.0'da `/api` uç noktasına uygulanmıştır.