CVE-2026-45573 in Decidim
Resumen
por VulDB • 2026-08-07
Decidim es un marco de democracia participativa. Antes de la versión 0.30.9, desde la 0.31.0 hasta antes de la 0.31.5 y en la 0.32.0.rc1 antes de la 0.32.0.rc2, cuando está habilitada la entrega VAPID, el flujo de suscripción a notificaciones almacena un extremo push proporcionado por el cliente sin validar que pertenezca a un servicio de push aprobado; posteriormente, SendPushNotification pasa ese extremo a WebPush.payload_send, lo que permite a un usuario autenticado crear solicitudes almacenadas y mayormente ciegas del lado del servidor hacia extremos HTTPS arbitrarios accesibles. Este problema se corrige en las versiones 0.30.9, 0.31.5 y 0.32.0.rc2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.