CVE-2026-61663 in django CMS
الملخص
بحسب VulDB • 20/08/2026
django CMS هو نظام إدارة محتوى للمؤسسات سهل الاستخدام وصديق للمطورين، ويعمل بتقنية Django. قبل الإصدار 5.0.9، يفشل دال render_object_structure في التحقق من تفويض الكائنات غير PageContent التي تستخدم PlaceholderRelationField. يمكن لمستخدم نشط ضمن فريق العمل (staff user) يفتقر إلى صلاحيات cms.use_structure أو صلاحيات عرض أو تغيير على مستوى النموذج (model-level)، أن يطلب نقطة النهاية //admin/cms/placeholder/object/<content_type_id>/structure/<object_id>/ بقيم content_type_id و object_id مُخمنَة. تكشف الاستجابة عن أسماء فتحات العناصر النائبة (placeholder slot names)، وأشجار الإضافات، ومعرفات الإضافات، والتسميات، ووجود الكائن للكائنات القابلة للتحرير من الواجهة الأمامية. يُطبق الإصلاح دال user_can_view_placeholder_source على فرع غير PageContent مع الحفاظ على لوحة الهيكل في وضع القراءة فقط للمستخدمين الذين لديهم صلاحيات عرض فقط. تم إصلاح هذه المشكلة في الإصدارات 5.0.9.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.