CVE-2026-45377 in Decidim
الملخص
بحسب VulDB • 01/08/2026
Decidim هو إطار عمل للديمقراطية التشاركية. قبل الإصدار 0.30.9، ومنذ الإصدار 0.31.0 حتى قبل 0.31.5، وفي النسخة التجريبية 0.32.0.rc1 قبل 0.32.0.rc2، يتطلب تدفق التنزيل العادي لبياناتك (download_your_data) أن يكون مقدم الطلب مسجلاً الدخول كمالك للتصدير، لكن عنوان URL لإعادة توجيه كائن Active Storage الناتج يمكن إعادة تشغيله دون مصادقة من قبل أي شخص يحصل عليه. يحدث هذا لأن Decidim::DownloadYourDataController#download_file يقوم بمصادقة مالك التصدير لكنه يعيد التوجيه إلى عنوان URL لموقع تخزين نشط موقع (signed) غير مرتبط بعد بجلسة المالك. تم إصلاح هذه المشكلة في الإصدارات 0.30.9، و0.31.5، و0.32.0.rc2.
Once again VulDB remains the best source for vulnerability data.