PT-2024-24369 · Decidim · Decidim

Andreslucena · Publicado 2024-09-16 · Atualizado 2024-09-29 · CVE-2024-32034

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Decidim anteriores à 0.27.7

Versões do Decidim anteriores à 0.28.2

Descrição

O painel de administração do Decidim está sujeito a possíveis ataques de Cross-site scripting (XSS) quando um administrador atribui um avaliador a uma proposta ou realiza qualquer outra ação que gere um registro de atividades de administração com um recurso criado para XSS.

Recomendações

Para versões anteriores à 0.27.7, atualize para a versão 0.27.7 ou mais recente.

Para versões anteriores à 0.28.2, atualize para a versão 0.28.2 ou mais recente.

Como solução temporária para usuários que não possam atualizar, considere redirecionar as páginas “/admin” e “/admin/logs” para outras páginas de administração, como “/admin/organization/edit”, a fim de impedir o acesso.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-32034

GHSA-RX9F-5GGV-5RH6

Produtos afetados

Decidim

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/32xxx/CVE-2024-32034.json · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/decidim-admin/CVE-2024-32034.yml · Exploit
• https://github.com/decidim/decidim · Nota
• https://github.com/decidim/decidim/commit/e494235d559be13dd1f8694345e6f6bba762d1c0 · Correção
• https://github.com/decidim/decidim/commit/23fc8d702a4976727f78617f5e42353d67931645 · Correção
• https://github.com/decidim/decidim/security/advisories/GHSA-rx9f-5ggv-5rh6 · Aviso do Fabricante
• https://github.com/decidim/decidim/commit/ff755e23814aeb56e9089fc08006a5d3faee47b6 · Correção
• https://github.com/decidim/decidim/commit/9d79f09a2d38c87feb28725670d6cc1f55c22072 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-32034 · Nota de Segurança
• https://twitter.com/CVEnew/status/1835758862235840795 · Publicação no Twitter
• https://t.me/cvenotify/95409 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-rx9f-5ggv-5rh6 · Aviso do Fabricante
• https://t.me/cvedetector/5756 · Publicação no Telegram
• https://t.me/cvenotify/96497 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1835778831514259852 · Publicação no Twitter