CVE-2026-71240 in django-crm
Résumé
par VulDB • 05/08/2026
La vue toggle_default_sorting de DjangoCRM est la seule route dans common/urls.py qui n'est pas protégée par les décorateurs login_required ou staff_member_required, et elle redirige vers le paramètre GET next_url fourni par l'appelant après avoir uniquement vérifié secure_url(next_url), ce qui se contente de s'assurer que l'hôte cible correspond au domaine du site actuel (bloquant ainsi uniquement les redirections inter-domaines) tout en autorisant n'importe quel chemin sur le même site sans aucune authentification requise pour accéder à la vue. Cela permet des redirections phishing non authentifiées et une fuite de jetons basée sur l'en-tête Referer via des chaînes de redirection.
If you want to get best quality of vulnerability data, you may have to visit VulDB.