CVE-2026-45377
Açıklama
Decidim bir katılımcı demokrasi çerçevesidir. 0.30.9 öncesinde, 0.31.0'dan 0.31.5 öncesine kadar ve 0.32.0.rc1'de 0.32.0.rc2 öncesinde, normal download_your_data akışı, istekte bulunanın dışa aktarma sahibi olarak oturum açmış olmasını gerektirir, ancak ortaya çıkan Active Storage blob yönlendirme URL'si, onu ele geçiren herhangi biri tarafından kimlik doğrulama olmadan yeniden oynatılabilir. Bunun nedeni, Decidim::DownloadYourDataController#download_file'ın dışa aktarma sahibinin kimliğini doğrulaması ancak artık sahip oturumuna bağlı olmayan imzalı bir Active Storage blob URL'sine yönlendirmesidir. Bu sorun 0.30.9, 0.31.5 ve 0.32.0.rc2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| decidim decidim | < 0.30.9, >= 0.31.0.rc1, < 0.31.5, >= 0.32.0.rc1, < 0.32.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.