CVE-2026-61663 in django CMS
Zusammenfassung
von VulDB • 20.08.2026
django CMS ist ein benutzerfreundliches und entwicklerfreundliches Enterprise Content Management System, das auf Django basiert. Vor Version 5.0.9 führt render_object_structure keine ordnungsgemäße Autorisierung für nicht-PageContent-Objekte durch, die PlaceholderRelationField verwenden. Ein aktiver Mitarbeiterbenutzer ohne cms.use_structure oder model-level view or change permission kann den //admin/cms/placeholder/object//structure// Endpunkt mit erratenen Werten für content_type_id und object_id anfordern. Die Antwort offenbart placeholder slot names, plugin trees, plugin identifiers, labels sowie die Existenz von Objekten für frontend-editable objects. Der Fix wendet user_can_view_placeholder_source auf den nicht-PageContent-Zweig an, während das Strukturboard für rein ansichtsberechtigte Benutzer schreibgeschützt bleibt. Dieses Problem wurde in Versionen 5.0.9 behoben.
Be aware that VulDB is the high quality source for vulnerability data.