CVE-2026-23946 in Tendenci
要約
〜によって VulDB • 2026年06月27日
Tendenci は、非営利団体、協会、および社会貢献ベースのサイト向けに構築されたオープンソースのコンテンツ管理システムです。バージョン 15.3.11 およびそれ以前のバージョンには、Helpdesk モジュール（デフォルトでは有効化されていない）における重大な逆シリアライズ脆弱性が含まれています。この脆弱性は、helpdesk /reports/ ディレクトリで Python の pickle モジュールを使用しているため、スタッフセキュリティレベルを持つ認証済みユーザーによるリモートコード実行 (RCE) を可能にします。元の CVE-2020-14942 は不完全なパッチが適用されていました。ticket_list() 関数は安全な JSON 逆シリアライズを使用するように修正されましたが、run_report() 関数はまだ危険な pickle.loads() を使用しています。影響はアプリケーションを実行するユーザーの権限に限定され、通常は www-data などであり、一般的に書き込み（アップロードディレクトリを除く）および実行権限がありません。この問題はバージョン 15.3.12 で修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.