PT-2026-60071
CVE-2026-45414
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-08-07
الوصف من
CVSS 3.1
8.5
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Decidim الأقدم من 0.31.5
إصدار Decidim 0.32.0.rc1
الوصف
المصادقة عبر واجهة برمجة التطبيقات (API) المدعومة بـ JWT ليست مرتبطة بشكل كافٍ بالمؤسسة التي يختارها المضيف الحالي. وهذا يسمح باستخدام رمز JSON Web Token (JWT) — وهو وسيلة مدمجة وآمنة للاستخدام في عناوين URL لتمثيل المطالبات المراد نقلها بين طرفين — والذي تم إصداره لمستأجر معين، بإعادة استخدامه مع واجهة برمجة تطبيقات (API) تابعة لمستأجر آخر. يمكن للمهاجم استخدام رمز JWT من مؤسسة ما للوصول إلى واجهة برمجة تطبيقات (API) تابعة لمؤسسة أخرى لقراءة بيانات
participantDetails الحساسة عبر GraphQL والوصول إلى مسار التغيير proposal.answer.التوصيات
التحديث إلى الإصدار 0.31.5 أو أحدث.
التحديث إلى الإصدار 0.32.0.rc2 أو أحدث.
كحل مؤقت، قم بتعطيل بيانات اعتماد JWT في لوحة النظام (
/system). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾