CVE-2026-45414

Nome do Software Vulnerável e Versões Afetadas Decidim versões anteriores a 0.31.5 Decidim versão 0.32.0.rc1

Description A autenticação de API baseada em JWT não está suficientemente vinculada à organização selecionada pelo host atual. Isso permite que um JSON Web Token (JWT), que é um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes, emitido para um locatário seja repetido contra a API de outro locatário. Um invasor pode usar um JWT de uma organização para acessar a API de outra organização para ler dados sensíveis de participantDetails via GraphQL e alcançar o caminho de mutação proposal.answer.

Recommendations Atualize para a versão 0.31.5 ou posterior. Atualize para a versão 0.32.0.rc2 ou posterior. Como solução temporária, desative as credenciais JWT no painel do sistema (/system).