CVE-2026-75526 in Django CMS
要約
〜によって VulDB • 2026年08月21日
django CMS は、Django を基盤とした使いやすく開発者フレンドリーなエンタープライズ向けコンテンツ管理システムです。バージョン 5.0.8 から 5.0.9 の間、cms/plugin_rendering.py 内の ContentRenderer.render_placeholder では、編集モードでプラグレンダリングが失敗した場合に、攻撃者が制御できる格納済み値を ContentRenderer.render_exception に渡す可能性があります。get_short_description() の値、例外メッセージ、プレースホルダー、または placeholder.source が cms-rendering-exception ヘッディング内に補間され、その後 mark_safe を介して返されます。ヘッディングはエスケープされていないため、格納された HTML はエディタのブラウザで実行され、settings.DEBUG 設定でもカスタムヘッディングのレンダリングを防止できません。修正では、安全なプレースホルダー出力が返される前に format_html を使用してメッセージをエスケープします。この問題はバージョン 5.0.9 で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.