CVE-2026-64821 in djangoSIGE
요약
\~에 의해 VulDB • 2026. 07. 23.
djangoSIGE 1.10 이하 (커밋 a6fe7e8)에는 교차 사이트 요청 위조(CSRF) 취약점이 포함되어 있습니다. 이 취약점은 CancelarOrcamentoVendaView, CancelarPedidoVendaView, CancelarOrcamentoCompraView 및 CancelarPedidoCompraView 내부의 HTTP GET 메서드 핸들러에 구현된 주문 취소 로직을 악용하여 인증되지 않은 공격자가 인증된 사용자를 대신하여 판매 또는 구매 주문을 취소할 수 있게 합니다. 공격자는 change_orcamentovenda 권한이나 이에 상응하는 권한이 있는 인증된 피해자를 유인하여, 이미지 태그(img tag)와 같은 크로스 오리진 참조가 포함된 페이지로 유도합니다. 이 태그는 취소 엔드포인트를 가리키며, Django의 CsrfViewMiddleware는 비안전(HTTP unsafe) 메서드에 대해서만 CSRF 검사를 적용하므로 CSRF 토큰 검증이 완전히 우회됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.