CVE-2026-23946 in Tendenci
Zusammenfassung
von VulDB • 23.06.2026
Tendenci ist ein Open-Source-CMS für gemeinnützige Organisationen, Verbände und themenbezogene Websites. Die Versionen 15.3.11 und älter enthalten eine kritische Deserialisierungsanfälligkeit im Helpdesk-Modul (das standardmäßig nicht aktiviert ist). Diese Schwachstelle ermöglicht Remote Code Execution (RCE) durch einen authentifizierten Benutzer mit Staff-Sicherheitsstufe, da das Python-Pickle-Modul in helpdesk /reports/ verwendet wird. Die ursprüngliche CVE-2020-14942 wurde unvollständig gepatcht. Während ticket_list() korrigiert wurde, um sichere JSON-Deserialisierung zu verwenden, nutzt die Funktion run_report() weiterhin unsicheres pickle.loads(). Die Auswirkungen sind auf die Berechtigungen des Benutzers beschränkt, der die Anwendung ausführt (typischerweise www-data), dem im Allgemeinen Schreibzugriff (außer für Upload-Verzeichnisse) und Ausführungsrechte fehlen. Dieses Problem wurde in Version 15.3.12 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.