PT-2024-24596 · Decidim · Decidim

Patrick Himler · Publicado 2024-07-10 · Atualizado 2024-07-11 · CVE-2024-32469

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Decidim anteriores à 0.27.6

Versões do Decidim anteriores à 0.28.1

Descrição

O recurso de paginação utilizado em pesquisas e filtros está sujeito a um potencial ataque XSS por meio de uma URL malformada que utilize o parâmetro GET per page. Esta falha foi descoberta em uma auditoria de segurança organizada pelo mitgestalten Partizipationsbüro e financiada pela netidee contra o Decidim, realizada em abril de 2024.

Recomendações

Para versões do Decidim anteriores à 0.27.6, atualize para a versão 0.27.6 ou posterior para corrigir a vulnerabilidade.

Para versões do Decidim anteriores à 0.28.1, atualize para a versão 0.28.1 ou posterior para corrigir a vulnerabilidade.

Como solução temporária, considere restringir o acesso ao parâmetro per page no endpoint da API afetado até que um patch esteja disponível.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-32469

GHSA-7CX8-44PC-XV3Q

Produtos afetados

Decidim

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/32xxx/CVE-2024-32469.json · Exploit
• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/decidim/CVE-2024-32469.yml · Exploit
• https://github.com/decidim/decidim · Nota
• https://github.com/decidim/decidim/security/advisories/GHSA-7cx8-44pc-xv3q · Nota
• https://github.com/decidim/decidim/releases/tag/v0.27.6 · Nota
• https://github.com/decidim/decidim/releases/tag/v0.28.1 · Nota
• https://twitter.com/CVEnew/status/1811322703418445824 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-32469 · Nota de Segurança
• https://t.me/cvenotify/85713 · Publicação no Telegram
• https://twitter.com/rubylandnews/status/1811510893382869447 · Publicação no Twitter
• https://twitter.com/it_malibu/status/1811513434544243144 · Publicação no Twitter
• https://t.me/cvedetector/580 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-32469 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1811135633433202803 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-7cx8-44pc-xv3q · Aviso do Fabricante