PT-2026-60067 · Decidim+1 · Decidim+1
CVE-2026-45330
·
Publicado
2026-07-13
·
Atualizado
2026-07-31
CVSS v3.1
4.9
Média
| Vetor | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
Decidim versões anteriores a 0.30.9
Decidim versões 0.31.0 até 0.31.4
Decidim versão 0.32.0.rc1
Description
Os controladores de administração de verificação de documentos de identidade carregam registros de autorização pendentes usando um identificador bruto sem verificar a propriedade da
current organization. Esta falha de controle de acesso permite que um administrador de um locatário (tenant) visualize, aprove ou rejeite solicitações de documentos de identidade pertencentes a outro locatário. O problema ocorre porque os controladores utilizam Authorization.find(...) para carregar o pending authorization id sem checar se o registro pertence à organização atual. Isso pode ser explorado através do endpoint /admin/id documents/pending authorizations/{id}/confirmations/new.Recommendations
Atualize para a versão 0.30.9.
Atualize para a versão 0.31.5.
Atualize para a versão 0.32.0.rc2.
Como medida paliativa temporária, desative o recurso de verificação de documentos de identidade.
Correção
Information Disclosure
Missing Authorization
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Decidim
Decidim-Verifications