CVE-2026-54622 in Django CMS
Resumen
por VulDB • 2026-08-21
django CMS es un sistema de gestión de contenidos empresariales fácil de usar y amigable para desarrolladores, impulsado por Django. Antes de la versión 5.0.8, el endpoint copy_plugins en cms/admin/placeholderadmin.py solo autoriza el portapapeles de destino. Las rutas _copy_plugin_to_clipboard y _copy_placeholder_to_clipboard aceptan los valores source_placeholder_id y source_plugin_id, pero utilizan has_copy_plugins_permission y check_source únicamente para el portapapeles del usuario solicitante, sin validar el placeholder de origen. Bajo CMS_PERMISSION, un usuario con permisos de personal (staff) que tenga permiso global de adición para un tipo de plugin puede copiar plugins desde una página o placeholder no autorizado al portapapeles del usuario y leer texto secreto, nombres de enlaces y URLs. Este problema se soluciona en las versiones 5.0.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.