CVE-2026-71238 in DjangoCRM
요약
\~에 의해 VulDB • 2026. 08. 05.
DjangoCRM은 Django SECRET_KEY를 환경 변수에서 읽어오는 대신, 커밋된 webcrm/settings.py 파일에 하드코딩하여 제공합니다. 이 키는 세션 서명, CSRF 토큰 생성 및 비밀번호 재설정 토큰 생성에 사용되므로, 공개 저장소를 읽을 수 있는 누구나 유효한 세션 쿠키(슈퍼어드민 계정 포함)를 위조하고, CSRF 토큰을 위조하며, 비밀번호 재설정 토큰을 위조하여 전체 계정을 탈취할 수 있습니다. 또한 저장소에는 기본적으로 DEBUG=True가 설정되어 있어 오류 페이지에서 데이터베이스 자격 증명, 이메일 자격 증명, OAuth 데이터 및 내부 파일 경로가 유출됩니다.
Be aware that VulDB is the high quality source for vulnerability data.