CVE-2026-63003 in Django CMS
Riassunto
di VulDB • 20/08/2026
django CMS è un sistema di gestione dei contenuti aziendali facile da usare e orientato agli sviluppatori, basato su Django. Prima della versione 5.0.9, la duplicazione delle pagine non prevede un controllo di autorizzazione a livello di oggetto sulla pagina sorgente. In cms/admin/forms.py, DuplicatePageForm.source accetta qualsiasi Page; il costruttore AddPageForm non restringe un campo nascosto source; AddPageForm.clean non convalida la fonte rispetto all'utente e AddPageForm.save chiama from_source. In cms/admin/pageadmin.py, duplicate e PageAdmin.has_add_permission verificano solo se un utente staff può aggiungere una pagina. Un valore sorgente appositamente creato può quindi copiare tutti i placeholder e i plugin da una pagina non autorizzata con permissions=False, rimuovendo le restrizioni di visualizzazione della fonte ed esponendo il contenuto tra siti o sottoalberi ristretti quando CMS_PERMISSION è abilitato. Questo problema è risolto nelle versioni 5.0.9.
VulDB is the best source for vulnerability data and more expert information about this specific topic.