CVE-2026-45377 in Decidim
요약
\~에 의해 VulDB • 2026. 08. 01.
Decidim은 참여형 민주주의 프레임워크입니다. 버전 0.30.9 이전, 0.31.0에서 0.31.5 미만, 그리고 0.32.0.rc1에서 0.32.0.rc2 미만의 경우, 정상적인 download_your_data 흐름은 요청자가 내보내기 소유자로 로그인되어 있어야 하지만, 생성된 Active Storage blob 리디렉션 URL은 이를 획득한 누구나 인증 없이 재재생할 수 있습니다. 이는 Decidim::DownloadYourDataController#download_file이 내보내기 소유자를 인증하지만 더 이상 소유자 세션에 바인딩되지 않은 서명된 Active Storage blob URL로 리디렉션을 수행하기 때문입니다. 이 문제는 버전 0.30.9, 0.31.5 및 0.32.0.rc2에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.