Decidim 存在通过嵌入功能泄露数据的漏洞（CVE-2024-27090）

CVE编号

CVE-2024-27090

利用情况

暂无

补丁情况

N/A

披露时间

2024-07-11

漏洞描述

Decidim是一个参与式民主框架，用Ruby on Rails编写，最初是为巴塞罗那市政府在线和线下参与网站开发的。如果攻击者能够推断出未发布或私有资源的slug或URL，并且此资源可以被嵌入（如参与过程、集会、提案、结果等），那么可能会访问到此资源的一些数据。该漏洞已在0.27.6版本中修复。

解决建议

"将组件 decidim 升级至 0.27.6 及以上版本"

参考链接
https://github.com/decidim/decidim/commit/1756fa639ef393ca8e8bb16221cab2e2e7875705
https://github.com/decidim/decidim/pull/12528
https://github.com/decidim/decidim/releases/tag/v0.27.6
https://github.com/decidim/decidim/security/advisories/GHSA-qcj6-vxwx-4rqv

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com