CVE-2026-45377

Przed wersjami 0.30.9, 0.31.5 i 0.32.0.rc2, gdy dostarczanie VAPID jest włączone, przepływ subskrypcji powiadomień przechowuje dostarczony przez klienta endpoint push bez weryfikacji, czy należy on do zatwierdzonej usługi push. SendPushNotification przekazuje ten endpoint do WebPush.payload_send, co pozwala uwierzytelnionemu użytkownikowi na tworzenie przechowywanych, w większości ślepych żądań serwerowych do dowolnych osiągalnych endpointów HTTPS. Problem naprawiono w wersjach 0.30.9, 0.31.5 i 0.32.0.rc2.

Przed wersjami 0.30.9, 0.31.5 i 0.32.0.rc2 administrator z uprawnieniami do edycji strony docelowej może przechowywać dowolny HTML i JavaScript w bloku treści HTML, który jest renderowany bez sanityzacji przez Decidim::ContentBlocks::HtmlCell#html_content, powodując wykonanie skryptu w przeglądarkach odwiedzających. Problem naprawiono w wersjach 0.30.9, 0.31.5 i 0.32.0.rc2.

Przed wersjami 0.30.9, 0.31.5 i 0.32.0.rc2 endpointy `/admin/csv_census/census_logs` nie egzekwują pełnej autoryzacji administratora przed renderowaniem lub modyfikacją rekordów Decidim::Verifications::CsvDatum, co pozwala menedżerowi uczestników na tworzenie, zmianę lub usuwanie rekordów spisu. Problem naprawiono w wersjach 0.30.9, 0.31.5 i 0.32.0.rc2.

Decidim przed wersją 0.31.5 oraz w 0.32.0.rc1 przed 0.32.0.rc2, uwierzytelnianie API oparte na JWT nie jest powiązane z organizacją wybraną przez bieżący host, co pozwala na powtórne użycie JWT wydanego dla jednej dzierżawy (tenanta) przeciwko API innej dzierżawy w celu odczytania danych `participantDetails` i dotarcia do ścieżki mutacji `proposal.answer`.

Decidim przed wersją 0.30.9, od 0.31.0 przed 0.31.5 oraz w 0.32.0.rc1 przed 0.32.0.rc2, interfejs administracyjny weryfikacji dokumentów tożsamości osadza załączniki `verification_attachment` przez wielokrotnego użytku podpisane URL-e Active Storage, co pozwala każdemu, kto uzyska URL, na pobranie zeskanowanego dokumentu bez uwierzytelnionej sesji Decidim, dopóki podpis nie wygaśnie. Obrazy dokumentów weryfikacyjnych są renderowane za pomocą `variant_url(...)`, co generuje podpisane linki `/rails/active_storage/disk/...` zamiast kierować plik przez kontroler sprawdzający autoryzację. Ponieważ Decidim konfiguruje URL-e usługi Active Storage tak, aby pozostawały ważne przez siedem dni, sam URL staje się poświadczeniem na ten okres.

Platforma Decidim przed wersjami 0.30.9, 0.31.5 i 0.32.0.rc2 zawiera podatność. Zapytanie GET /admin/organization/users search interpoluje parametr params[:term] do wyrażenia Arel.sql ORDER BY similarity przed sanityzacją, co pozwala uwierzytelnionemu administratorowi organizacji na wykonanie ślepych wyrażeń PostgreSQL i inferowanie danych przez różnice czasowe.

Platforma Decidim przed wersjami 0.30.9, 0.31.5 i 0.32.0.rc2 zawiera podatność. Kontrolery administracyjne weryfikacji dokumentów tożsamości ładują rekordy Authorization na podstawie surowego identyfikatora bez potwierdzenia własności current_organization, co pozwala administratorowi z jednej instancji na przeglądanie, zatwierdzanie lub odrzucanie żądań dokumentów tożsamości innej instancji.

W Decidim w wersjach od 0.31.1 do 0.31.4 oraz 0.32.0.rc1, zwykły uczestnik może uzyskać dostęp do edytora kwestionariuszy demograficznych pod ścieżką /admin/demographics/questions/edit_questions bez wymaganej autoryzacji administratora. Brakuje sprawdzenia uprawnień administratora dla tej trasy.