PT-2026-32446 · Decidim · Decidim

Publicado 2026-04-13 · Atualizado 2026-04-28 · CVE-2026-23891

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L

Nome do Software Vulnerável e Versões Afetadas Decidim versões anteriores a 0.30.5 Decidim versões 0.31.0.rc1 até 0.31.0

Descrição Um problema de execução de código armazenada no campo user name permite que um invasor com baixos privilégios execute código arbitrário no contexto de qualquer usuário que visite passivamente uma página de comentários. Isso resulta em alto impacto na confidencialidade e integridade entre limites de segurança.

Recomendações Atualizar para a versão 0.30.5 para versões anteriores a 0.30.5. Atualizar para a versão 0.31.1 para versões 0.31.0.rc1 até 0.31.0.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-23891

GHSA-FC46-R95F-HQ7G

Produtos afetados

Decidim

Referências · 10

• 🔥 https://github.com/rubysec/ruby-advisory-db/blob/master/gems/decidim-core/CVE-2026-23891.yml · Exploit
• https://github.com/decidim/decidim/security/advisories/GHSA-fc46-r95f-hq7g · Aviso do Fabricante
• https://github.com/decidim/decidim/releases/tag/v0.31.1 · Nota
• https://github.com/decidim/decidim · Nota
• https://github.com/decidim/decidim/releases/tag/v0.30.5 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-23891 · Nota de Segurança
• https://twitter.com/_cvereports/status/2049068788625051825 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-fc46-r95f-hq7g · Aviso do Fabricante
• https://twitter.com/pulsepatchio/status/2044248394990805346 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2043738411614277714 · Publicação no Twitter