CVE-2026-63003 in Django CMS
الملخص
بحسب VulDB • 21/08/2026
django CMS هو نظام إدارة محتوى للمؤسسات سهل الاستخدام وصديق للمطورين، ويعمل بتقنية Django. قبل الإصدار 5.0.9، تفتقر عملية تكرار الصفحات إلى فحص تفويض على مستوى الكائن (object-level authorization check) للصفحة المصدرية. في الملف cms/admin/forms.py، يقبل DuplicatePageForm.source أي كيان Page، ولا يقوم مُنشئ AddPageForm بتضييق حقل source المخفي، ولا تقوم دالة clean الخاصة بـ AddPageForm بالتحقق من صحة مصدر الصفحة مقابل المستخدم الحالي، كما تستدعي دالة save الخاصة بـ AddPageForm from_source. في الملف cms/admin/pageadmin.py، تتحقق كلتا الدالتين duplicate و PageAdmin.has_add_permission فقط مما إذا كان مستخدمًا ذا صلاحيات موظف (staff user) مسموحًا له بإضافة صفحة. وبالتالي، يمكن لقيمة source مُصمَّمة بشكل خبيث نسخ جميع عناصر placeholder والوحدات الإضافية (plugins) من صفحة غير مصرح بها مع تعيين permissions=False، مما يؤدي إلى إزالة قيود عرض الصفحة المصدرية وكشف المحتوى عبر مواقع أو أشجار فرعية مقيدة عند تفعيل CMS_PERMISSION. تم إصلاح هذه المشكلة في الإصدارات 5.0.9 وما بعدها.
If you want to get best quality of vulnerability data, you may have to visit VulDB.