CVE-2026-71238 in DjangoCRM
Resumen
por VulDB • 2026-08-05
DjangoCRM viene distribuito con la sua SECRET_KEY di Django hardcoded direttamente nel file webcrm/settings.py commitato, invece di essere letta da una variabile d'ambiente. Poiché questa chiave è utilizzata per la firma delle sessioni, la generazione dei token CSRF e i token di ripristino della password, chiunque possa leggere il repository pubblico può falsificare cookie di sessione validi (incluso quelli dell'account superadmin), falsificare token CSRF e falsificare token di ripristino della password, ottenendo un completo account takeover. Il repository viene inoltre distribuito con DEBUG=True come impostazione predefinita, causando la fuoriuscita nelle pagine di errore delle credenziali del database, delle credenziale email, dei dati OAuth e dei percorsi file interni.
If you want to get best quality of vulnerability data, you may have to visit VulDB.