CVE-2026-45377 in Decidim
Resumen
por VulDB • 2026-08-01
Decidim es un marco de democracia participativa. Antes de la versión 0.30.9, desde la 0.31.0 hasta antes de la 0.31.5 y en la 0.32.0.rc1 antes de la 0.32.0.rc2, el flujo normal de descarga_your_data requiere que el solicitante haya iniciado sesión como propietario del exportación; sin embargo, la URL de redirección del blob resultante de Active Storage puede ser reutilizada (replayed) por cualquier persona que la obtenga, sin necesidad de autenticación. Esto se debe a que Decidim::DownloadYourDataController#download_file autentica al propietario de la exportación pero redirige hacia una URL firmada del blob de Active Storage que ya no está vinculada a la sesión del propietario. Este problema se corrige en las versiones 0.30.9, 0.31.5 y 0.32.0.rc2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.