PT-2026-60070
CVE-2026-45378
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-08-07
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Decidim السابقة للإصدار 0.30.9
إصدارات Decidim من 0.31.0 إلى 0.31.4
إصدار Decidim 0.32.0.rc1
الوصف
تكشف واجهة المستخدم الإدارية الخاصة بالتحقق من وثائق الهوية عن وثائق الهوية الممسوحة ضوئيًا من خلال عناوين URL قابلة لإعادة الاستخدام وموقعة على قرص Active Storage. يحدث هذا لأن صور وثائق التحقق يتم عرضها باستخدام الدالة
variant url(...)، التي تُنشئ روابط موقعة على شكل /rails/active storage/disk/... بدلاً من توجيه الطلب عبر وحدة تحكم للتحقق من التفويض. ونظرًا لأن عناوين URL الخاصة بهذه الخدمة تظل صالحة لمدة سبعة أيام، فإن عنوان URL نفسه يعمل بمثابة بيانات الاعتماد، مما يسمح لأي شخص يحصل على الرابط بتنزيل وثائق الهوية الشخصية الحساسة دون الحاجة إلى جلسة عمل مصادق عليها حتى انتهاء صلاحية التوقيع. الملفات المتأثرة هي كتل verification attachment الموجودة في Decidim::Authorization، والتي يتم تضمينها مباشرةً في كود HTML الخاص بصفحات المراجعة الإدارية لعروض الوثائق المعلقة والتأكيد.التوصيات
التحديث إلى الإصدار 0.30.9.
التحديث إلى الإصدار 0.31.5.
التحديث إلى الإصدار 0.32.0.rc2.
كحل مؤقت، قم بتعطيل ميزة التحقق من وثائق الهوية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾