PT-2026-60074
CVE-2026-45573
·
تاريخ النشر
2026-07-13
·
تاريخ التحديث
2026-08-08
الوصف من
CVSS 3.1
6.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Decidim السابقة للإصدار 0.30.9
إصدارات Decidim من 0.31.0 إلى 0.31.4
إصدار Decidim 0.32.0.rc1
الوصف
عند تمكين التسليم عبر VAPID، يفشل مسار الاشتراك في الإشعارات في التحقق من أن نقطة نهاية الدفع التي يوفرها العميل تنتمي إلى خدمة دفع معتمدة. يمكن للمستخدم المصادق عليه تقديم عنوان URL HTTPS عشوائي عبر المعلمة
endpoint في نقطة النهاية POST /notifications subscriptions. يتم تخزين هذه القيمة في user.notification settings[”subscriptions“] ثم يتم تمريرها إلى الدالة WebPush.payload send(). يؤدي ذلك إلى إنشاء عنصر أساسي مخزّن وغير مرئي في الغالب لتزوير الطلبات من جانب الخادم (SSRF)، مما يسمح للخادم بإرسال طلبات POST صادرة إلى نقاط نهاية HTTPS عشوائية يمكن الوصول إليها، بما في ذلك الخدمات الداخلية. بالإضافة إلى ذلك، قد يتم الكشف عن بيانات تعريف الإشعارات إلى نقطة النهاية المقدمة عبر مسار طلب الدفع عبر الويب المشفر.التوصيات
التحديث إلى الإصدار 0.30.9.
التحديث إلى الإصدار 0.31.5.
التحديث إلى الإصدار 0.32.0.rc2.
كحل مؤقت، قم بتعطيل ميزة الإشعارات الفورية عن طريق إزالة مفاتيح VAPID من الخادم.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾