CVE-2026-23946 in Tendenci
요약
\~에 의해 VulDB • 2026. 06. 27.
Tendenci는 비영리 단체, 협회 및 사회적 목적 기반 사이트를 위해 구축된 오픈 소스 콘텐츠 관리 시스템입니다. 버전 15.3.11 이하에는 Helpdesk 모듈(기본적으로 활성화되지 않음)에서 치명적인 역직렬화 취약점이 포함되어 있습니다. 이 취약점은 helpdesk /reports/ 디렉토리에서 Python의 pickle 모듈을 사용함으로써 권한이 있는 스태프 레벨 사용자로 하여금 원격 코드 실행(RCE)을 수행할 수 있게 합니다. 원래의 CVE-2020-14942는 불완전하게 패치되었습니다. ticket_list() 함수가 안전한 JSON 역직렬화를 사용하도록 수정되었지만, run_report() 함수는 여전히 안전하지 않은 pickle.loads()를 사용하고 있습니다. 영향은 애플리케이션을 실행하는 사용자(일반적으로 www-data)의 권한으로 제한되며, 이 사용자는 일반적으로 쓰기(업로드 디렉토리 제외) 및 실행 권한이 없습니다. 이 문제는 버전 15.3.12에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.