Um JWT emitido a uma Org 1 a conta é aceita no Org 2 API e pode ler o campo `participanteDetails` de um org' somente do administrador 2 participante. O mesmo problema de confiança-fronteira também afeta a autenticação do usuário da API: um Org 1 O usuário da API pode usar um JWT na Org 1 hospedador e reprodução do JWT para o Org 2 API para ler Org 2 Dados pessoais do participante e alcance a Org 2 's caminho de mutação `proposal.answer'. ## Descrição técnica. O hospedeiro atual seleciona o contexto de organização Decidim, mas a autenticação da API apoiada pelo JWT não está suficientemente ligada a essa organização. Como resultado, a API pode processar um pedido em Org 2 ' s contexto enquanto ainda confia num principal autenticado da Org 1. 1. Use uma chave API fornecida pelo administrador do sistema que é atribuído à organização 1 para criar o token JWT ou obter o token JWT mostrado na resposta quando conectado como administrador da organização.

2. Ao usar este token JWT é possível recuperar detalhes de outras organizações. Note a mudança do cabeçalho do hospedeiro no pedido abaixo para o de outro inquilino `org 2.localhost: 3001 ` Note que o uso de um JWT gerado por participantes não permitiu mostrar esses resultados. Um JWT emitido para uma organização pode ser reproduzido com sucesso contra a API de outra organização e usado para recuperar detalhes sensíveis dessa organização.

Desativar as credenciais do JWT no painel de sistema (`/ sistema`). OWASP A 01: 2021 Controle de Acesso Roto Este problema foi descoberto em uma auditoria de segurança organizada pela [Associação Decidim]( e feita por [Segurança Radicamente Aberta]( contra Decidim financiado por [NGI]( Registro de aconselhamento: GHSA-r 3 v 7 - 5 x 4 c- c 69 q. Identificadores relacionados: CVE- 2026 - 45414.

Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 13 T 17: 16: 56.000 Z e lista a sua última modificação como 2026 - 07 - 13 T 17: 16: 57.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N.

Informações sobre software e versão afetadas: Decidim do pacote RubyGems — ECOSISTEM: introduzido 0, corrigido 0.31.5. Decidim do pacote RubyGems — ECOSYSTEM: introduzido 0.32.0.rc 1, corrigido 0.32.0. Classificação e evidência: identificadores de fraqueza CWE- 287. O registro contém 4 suporte de referências nestes tipos: WEB, PACKAGE.