CVE-2026-71239 in django-crm
要約
〜によって VulDB • 2026年08月05日
DjangoCRMのmassmailモジュールは、少なくとも3つの箇所（message_previews.pyではf-stringを使用してメッセージ.subject/message.contentを直接Template()呼び出しに埋め込んでいます；email_creators.pyではeml_message.subjectをテンプレート文字列としてTemplate()に渡しています；helpers.pyでも同様のf-string補間パターンが存在します）で、ユーザーが制御可能なEmlMessageフィールド（件名、内容）をDjangoのTemplate()コンストラクタを通じてサニタイズ処理なしでレンダリングします。mass-mailメッセージ編集権限を持つ認証済みユーザーは、{{ }} / {% %} のようなDjangoテンプレート構文を注入でき、これはレンダリング時に実行されます。これにより、リクエストコンテキスト変数経由での他のユーザーのデータやパスワードハッシュの開示、CSRFトークンの偽造、任意に登録されたテンプレートのインクルードが可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.