PT-2026-60068
CVE-2026-45376
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-08-03
الوصف من
CVSS 3.1
5.5
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Decidim السابقة للإصدار 0.30.9
إصدارات Decidim من 0.31.0 إلى 0.31.4
إصدار Decidim 0.32.0.rc1
الوصف
يمكن لمسؤول المؤسسة المصادق عليه تنفيذ تعبيرات PostgreSQL غير مرئية واستنتاج البيانات من خلال الاختلافات الزمنية. تحدث هذه المشكلة لأن التطبيق يقوم بإدراج المعلمة
term في تعبيرات التشابه ORDER BY في Arel.sql الخام قبل تطبيق عملية التنقية. وهذا يسمح بتنفيذ سلسلة بحث مصممة خصيصًا بواسطة قاعدة البيانات كجزء من تعبير الفرز.نقطة نهاية واجهة برمجة التطبيقات (API):
GET /admin/organization/usersالمعلمة المعرضة للخطر:
termالتوصيات
التحديث إلى الإصدار 0.30.9.
التحديث إلى الإصدار 0.31.5.
التحديث إلى الإصدار 0.32.0.rc2.
مراجعة صلاحيات الوصول الخاصة بالمسؤول والتأكد من عدم منح أذونات لمستخدمين غير موثوق بهم.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾