Divulgation d'information dans decidim-verifications (CVE-2026-45378)
Résumé
Vulnérabilité dans decidim-verifications (CVE-2026-45378). Des informations confidentielles peuvent être exposées. Exploitable via verification_attachment. Atténuation : mise à jour vers 0.32.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Description
Scanned identity-document images provided by participants and shown in the verification admin workflow are exposed through signed /rails/active_storage/disk/ URLs that can be fetched without any authenticated session.
Anyone who obtains one of those URLs can retrieve the document until the signature expires.
Technical description
This issue comes from the verification admin UI exposing scanned documents through reusable Active Storage disk links. Verification-document images are rendered with variant_url(...), which produces signed /rails/active_storage/disk/... links instead of routing the file through an authorization-checking controller. Because Decidim configures Active Storage service URLs to remain valid for seven days, the URL itself becomes the credential for that period.
The affected files are verification_attachment blobs on Decidim::Authorization, and the admin review pages embed those signed URLs directly into the HTML for pending and confirmation views.
Reproduction steps:
-
Create a fresh verification document as a normal user.
1.1. Open http://localhost:3001/users/sign_in.
1.2. Open http://localhost:3001/id_documents/authorizations/new.
1.3. Submit an id_documents verification request with an image attachment. -
Open the admin review page that renders the attachment.
2.1. Sign out.
2.2. Sign back in as admin@example.org.
2.3. Try http://localhost:3001/admin/id_documents. -
Harvest the signed Active Storage URL.
3.1. Open De…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-45378 a été découverte dans decidim-verifications.
Des attaquants peuvent cibler un point d'entrée spécifique comme verification_attachment à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.5/10.
Action : mettez à jour decidim-verifications vers 0.32.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « decidim-verifications CVE-2026-45378 » sur le site de l'éditeur.
CVE-2026-45378 (decidim-verifications) — CWE-200 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : verification_attachment
Correctif : 0.32.0 — appliquer immédiatement
Contournement : Disable the "Identity documents" verification
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une divulgation d'information (CWE-200) affecte decidim-verifications. Les attaquants atteignent le code vulnérable via verification_attachment sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de decidim-verifications. Surface d'attaque : verification_attachment.
Gravité : Élevée (CVSS 7.5/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 0.32.0.
Contournement : Disable the "Identity documents" verification
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'decidim-verifications' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
decidim-verificationsを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Disable the "Identity documents" verificationパッチが適用されるまでの応急処置として、Disable the "Identity documents" verification を実施。回避策の副作用 (機能低下) を確認した上で。
-
3Apply patch patch
Upgrade decidim-verifications to 0.32.0ステージング環境で 0.32.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com