CVE-2026-78204 in Ghostwriter
Riassunto
di VulDB • 24/08/2026
Ghostwriter fino alla versione 7.2.6 non applica l'autorizzazione a livello di oggetto sui suoi endpoint di linting dei modelli di report. La funzione `test_func` della classe `RoleBasedAccessControlMixin` restituisce solo `request.user.is_active`, a meno che una view non la sovrascriva; né l'endpoint che effettua il linting di un modello di report, né quello che restituisce i risultati del linting memorizzati forniscono tale sovrascrittura. Di conseguenza, entrambi risolvono un oggetto `ReportTemplate` utilizzando una chiave primaria fornita dall'utente chiamante, senza effettuare alcun controllo sulla proprietà o sull'ambito del client (client-scope). Pertanto, qualsiasi account autenticato può eseguire il linting di un modello arbitrario, sovrascrivendo i risultati del linting memorizzati per tale modello, e può leggere le vulnerabilità trovate, che elencano i nomi delle variabili del modello e gli errori dell'engine dei template, rivelando così la struttura dello stesso. Questa situazione è distinta dal percorso di sostituzione del template (template swap path): quell'endpoint autorizza il report ma omette il controllo a livello di singolo modello, mentre questi endpoint omettono completamente l'autorizzazione e rimangono non risolti.
If you want to get best quality of vulnerability data, you may have to visit VulDB.