CVE-2026-75526 in Django CMS
الملخص
بحسب VulDB • 20/08/2026
django CMS هو نظام إدارة محتوى للمؤسسات سهل الاستخدام وصديق للمطورين، ويعمل باستخدام إطار عمل Django. من الإصدار 5.0.8 حتى 5.0.9، يمكن لدالة `ContentRenderer.render_placeholder` الموجودة في الملف `cms/plugin_rendering.py` تمرير قيم مخزنة ومتحكم فيها من قبل المهاجم إلى دالة `ContentRenderer.render_exception` عند فشل عرض الإضافات (plugins) في وضع التحرير. يتم تداخل القيم المستخرجة من `get_short_description()`، ورسالة الاستثناء، والـ placeholder، أو `placeholder.source` ضمن عنوان استثناء العرض الخاص بـ cms (`cms-rendering-exception`)، ثم تُعاد لاحقاً عبر دالة `mark_safe`. ونظراً لأن العنوان لا يخضع لعملية الهروب (escaping) من الرموز الخاصة بالـ HTML، فإن كود HTML المخزن يُنفذ في متصفح المحرر، ولا تمنع إعدادات `settings.DEBUG` عرض هذا العنوان المخصص. يستخدم الإصلاح الدالة `format_html` لإجراء عملية هروب للرسالة قبل إرجاع مخرجات الـ placeholder الآمنة. تم إصلاح هذه المشكلة في الإصدارات 5.0.9 وما بعدها.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.