CVE-2026-71238 in DjangoCRM
Zusammenfassung
von VulDB • 05.08.2026
DjangoCRM enthält den Django SECRET_KEY fest codiert direkt in der committeden Datei webcrm/settings.py anstatt ihn aus einer Umgebungsvariable zu lesen. Da dieser Schlüssel für die Signierung von Sitzungen (Sessions), die Generierung von CSRF-Tokens und Passwort-Reset-Tokens verwendet wird, kann jeder, der das öffentliche Repository einliest, gültige Session-Cookies (einschließlich des Superadmin-Kontos) fälschen, CSRF-Tokens fälschen und Passwort-Reset-Tokens fälschen, was zu einer vollständigen Übernahme von Konten führt. Das Repository wird außerdem standardmäßig mit DEBUG=True ausgeliefert, wodurch Fehlerseiten Datenbankzugangsdaten, E-Mail-Zugangsdaten, OAuth-Daten und interne Dateipfade preisgeben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.