CVE-2023-28836 in Wagtail
Riassunto
di VulDB • 27/06/2026
Wagtail è un sistema di gestione dei contenuti open source basato su Django. A partire dalla versione 1.5 e fino alle versioni precedenti alla 4.1.4 e alla 4.2.2, esiste una vulnerabilità da cross-site scripting (XSS) memorizzato nelle viste ModelAdmin all'interno dell'interfaccia amministrativa di Wagtail. Un utente con un account editor a permessi limitati per l'amministrazione di Wagtail potrebbe potenzialmente creare pagine e documenti che, se visualizzati da un utente con privilegi più elevati, potrebbero eseguire azioni utilizzando le credenziali di tale utente. La vulnerabilità non è sfruttabile da un visitatore ordinario del sito senza accesso all'interfaccia amministrativa di Wagtail e interessa solo i siti in cui ModelAdmin è abilitato. Per quanto riguarda le pagine, la vulnerabilità si trova nella vista "Choose a parent page" (ModelAdmin view `ChooseParentView`), disponibile quando si gestiscono le pagine tramite ModelAdmin. Per i documenti, la vulnerabilità è presente nella vista di ispezione ModelAdmin (`InspectView`) durante la visualizzazione dei campi del documento. Sono state rilasciate versioni patchate come Wagtail 4.1.4 e Wagtail 4.2.2. I proprietari dei siti che non possono effettuare l'aggiornamento alle nuove versioni possono disabilitare o sovrascrivere le funzionalità corrispondenti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.