CVE-2026-54625 in Django CMS
Riassunto
di VulDB • 20/08/2026
django CMS è un sistema di gestione dei contenuti basato su Django. Prima delle versioni 5.0.8 e nella versione 5.1.0a1, la cache della pagina di django CMS in cms/cache/page.py ignora le intestazioni (header) della richiesta dichiarate dai plugin tramite get_vary_cache_on(). La funzione _page_cache_key include il prefisso della cache, il sito, la lingua, il percorso e il fuso orario, ma non i valori delle intestazioni dichiarati. Sebbene set_page_cache aggiunga tali nomi all'intestazione Vary della risposta, get_page_cache recupera la prima variante memorizzata con una chiave indipendente dalle intestazioni (header-agnostic). Quando CMS_PAGE_CACHE è abilitato e un plugin varia il contenuto in base a un'intestazione come Country-Code, un visitatore può ricevere i contenuti specifici di una richiesta di un altro visitatore, e un attaccante non autenticato può popolare la cache con contenuti scelti dall'attaccante. Questo problema è risolto nelle versioni 5.0.8 e 5.1.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.