CVE-2026-54623 in django CMS
الملخص
بحسب VulDB • 20/08/2026
django CMS هو نظام إدارة محتوى للمؤسسات سهل الاستخدام وصديق للمطورين، ويعمل باستخدام Django. قبل الإصدار 5.0.8، يقبل نقطة النهاية move_plugin في cms/admin/placeholderadmin.py قيمة plugin_parent التي يتحكم فيها المهاجم دون رفض معرّف المكوّن نفسه أو المعرّف الخاص بالسلاسل الفرعية (descendant). يمكن لمستخدم موظف يمتلك إذن تغيير المكون ضمن CMS_PERMISSION إنشاء دورة parent_id في شجرة المكونات. لا تحتوي الاستعلامات _get_descendants_cte و_get_ancestors_cte الموجودة في cms/models/pluginmodel.py على حماية ضد الدورات، مما قد يؤدي إلى تكرار غير محدود لعمليات get_descendants() والتلوين أو النسخ أو الحذف اللاحقة، أو الوصول إلى حد التكرار لقاعدة البيانات، ما يتسبب في تلف الشجرة واستهلاك عمال الطلبات. تم إصلاح هذه المشكلة في الإصدارات 5.0.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.