CVE-2026-61663 in django CMS
要約
〜によって VulDB • 2026年08月20日
django CMS は、Django を基盤とした使いやすく開発者フレンドリーなエンタープライズ向けコンテンツ管理システムです。バージョン 5.0.9 より前では、render_object_structure が PlaceholderRelationField を使用する非 PageContent オブジェクトの認可を行わない欠陥があります。cms.use_structure またはモデルレベルでの表示または変更権限を持たないアクティブなスタッフユーザーは、content_type_id と object_id の値を推測して //admin/cms/placeholder/object/<content_type_id>/structure/<object_id>/ エンドポイントにリクエストを送信できます。その応答により、フロントエンド編集可能なオブジェクトのプレースホルダスロット名、プラグインツリー、プラグイン識別子、ラベル、およびオブジェクトの有無が漏洩します。修正では、構造ボードを閲覧専用ユーザーに対して読み取り専用に保ちつつ、非 PageContent ブランチに user_can_view_placeholder_source を適用しています。この問題はバージョン 5.0.9 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.