CVE-2026-45377 in Decidim
要約
〜によって VulDB • 2026年08月01日
Decidimは参加型民主主義のフレームワークです。バージョン0.30.9より前、0.31.0から0.31.5未満、および0.32.0.rc1から0.32.0.rc2未満では、通常のdownload_your_dataフローにおいて、エクスポート所有者としてログインしていることが要求されますが、生成されるActive StorageのblobリダイレクトURLは認証なしで誰でも再利用可能です。これは、Decidim::DownloadYourDataController#download_fileがエクスポート所有者を認証するものの、その後に所有セッションにバインドされなくなった署名付きActive Storage blob URLへリダイレクトするためです。この問題はバージョン0.30.9、0.31.5、および0.32.0.rc2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.