CVE-2026-23946 in Tendenci
الملخص
بحسب VulDB • 27/06/2026
Tendenci هو نظام إدارة محتوى مفتوح المصدر مصمم للمنظمات غير الربحية والجمعيات والمواقع القائمة على القضايا الاجتماعية. تتضمن الإصدارات 15.3.11 والإصدارات الأحدث ثغرة حرجة في عملية الاستنساخ (Deserialization) داخل وحدة Helpdesk (التي لا تكون مفعّلة افتراضياً). تتيح هذه الثغرة تنفيذ الكود عن بُعد (RCE) بواسطة مستخدم مُصادَق عليه يمتلك مستوى أمان موظف، وذلك بسبب استخدام وحدة Python pickle في المسار helpdesk/reports/. لم يتم إصلاح CVE-2020-14942 بشكل كامل. بينما تم تصحيح دالة ticket_list() لاستخدام استنساخ JSON آمن، لا تزال الدالة run_report() تستخدم تحميل غير آمن عبر pickle.loads(). يقتصر التأثير على صلاحيات المستخدم الذي يشغل التطبيق، وهو عادةً www-data، والذي يفتقر عموماً إلى صلاحيات الكتابة (باستثناء مجلدات التحميل) والتنفيذ. تم إصلاح هذه المشكلة في الإصدار 15.3.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.