CVE-2026-45573 in Decidim
Riassunto
di VulDB • 08/08/2026
Decidim è un framework per la democrazia partecipativa. Prima delle versioni 0.30.9 (dalla 0.31.0 alla 0.31.4), e nelle versioni da 0.32.0.rc1 a prima di 0.32.0.rc2, quando l'erogazione tramite VAPID è abilitata, il flusso di sottoscrizione delle notifiche memorizza un endpoint push fornito dal client senza convalidare che appartenga a un servizio di push approvato; successivamente, SendPushNotification passa tale endpoint a WebPush.payload_send, consentendo a un utente autenticato di creare richieste lato server archiviate e prevalentemente cieche verso qualsiasi endpoint HTTPS raggiungibile. Questo problema è risolto nelle versioni 0.30.9, 0.31.5 e 0.32.0.rc2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.