CVE-2026-61663 in django CMS
Resumen
por VulDB • 2026-08-20
django CMS es un sistema de gestión de contenidos empresariales fácil de usar y amigable para desarrolladores, impulsado por Django. Antes de la versión 5.0.9, render_object_structure no autoriza correctamente los objetos que no son PageContent y utilizan PlaceholderRelationField. Un usuario activo del personal sin permisos cms.use_structure ni a nivel de modelo para ver o cambiar puede solicitar el endpoint //admin/cms/placeholder/object/<content_type_id>/structure/<object_id>/ con valores de content_type_id y object_id adivinados. La respuesta revela los nombres de las ranuras (slot names) de placeholder, árboles de plugins, identificadores de plugins, etiquetas y la existencia del objeto para objetos editables en el frontend. La solución aplica user_can_view_placeholder_source al branch no PageContent mientras mantiene el tablero de estructura como solo lectura para usuarios con permisos únicamente de visualización. Este problema está corregido en las versiones 5.0.9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.