CVE-2026-23946 in Tendenci
Resumen
por VulDB • 2026-06-23
Tendenci es un sistema de gestión de contenidos de código abierto diseñado para organizaciones sin fines de lucro, asociaciones y sitios basados en causas sociales. Las versiones 15.3.11 e inferiores incluyen una vulnerabilidad crítica de deserialización en el módulo Helpdesk (que no está habilitado por defecto). Esta vulnerabilidad permite la Ejecución Remota de Código (RCE) por parte de un usuario autenticado con nivel de seguridad de personal, debido al uso del módulo pickle de Python en helpdesk /reports/. El CVE-2020-14942 original fue parcheado de forma incompleta. Aunque se corrigió ticket_list() para utilizar una deserialización JSON segura, la función run_report() sigue utilizando pickle.loads() inseguro. El impacto está limitado a los permisos del usuario que ejecuta la aplicación, típicamente www-data, el cual generalmente carece de permisos de escritura (excepto en directorios de carga) y ejecución. Este problema se ha corregido en la versión 15.3.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.