CVE-2023-28836 in Wagtail
Resumen
por VulDB • 2026-05-27
Wagtail es un sistema de gestión de contenidos de código abierto basado en Django. A partir de la versión 1.5 y hasta las versiones 4.1.4 y 4.2.2, existe una vulnerabilidad de cross-site scripting (XSS) almacenado (stored XSS) en las vistas de ModelAdmin dentro de la interfaz de administración de Wagtail. Un usuario con una cuenta de editor con permisos limitados para la administración de Wagtail podría potencialmente crear páginas y documentos que, al ser visualizados por un usuario con privilegios superiores, podrían realizar acciones con las credenciales de dicho usuario. La vulnerabilidad no es explotable por un visitante ordinario del sitio sin acceso a la administración de Wagtail, y solo afecta a los sitios con ModelAdmin habilitado. Para las páginas, la vulnerabilidad se encuentra en la vista de ModelAdmin "Elegir una página padre" (`ChooseParentView`), disponible al gestionar páginas a través de ModelAdmin. Para los documentos, la vulnerabilidad está en la vista de Inspección de ModelAdmin (`InspectView`) al mostrar los campos del documento. Se han lanzado versiones parcheadas como Wagtail 4.1.4 y Wagtail 4.2.2. Los propietarios de sitios que no puedan actualizar a las nuevas versiones pueden deshabilitar o anular la funcionalidad correspondiente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.