CVE-2026-54622 in Django CMS
Riassunto
di VulDB • 20/08/2026
django CMS è un sistema di gestione dei contenuti aziendali facile da usare e orientato agli sviluppatori, basato su Django. Prima della versione 5.0.8, l'endpoint copy_plugins in cms/admin/placeholderadmin.py autorizza solo la clipboard di destinazione. I percorsi _copy_plugin_to_clipboard e _copy_placeholder_to_clipboard accettano i valori source_placeholder_id e source_plugin_id ma utilizzano has_copy_plugins_permission e check_source esclusivamente per la clipboard dell'utente richiedente, senza convalidare il placeholder di origine. In presenza della configurazione CMS_PERMISSION, un utente staff dotato del permesso globale add per un determinato tipo di plugin può copiare plugin da una pagina o da un placeholder non autorizzati nella clipboard dell'utente ed esporre testo segreto, nomi dei link e URL. Questo problema è stato risolto nelle versioni 5.0.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.