CVE-2023-28836 in Wagtail
Sumário
de VulDB • 27/06/2026
O Wagtail é um sistema de gerenciamento de conteúdo (CMS) de código aberto construído sobre o Django. A partir da versão 1.5 e até as versões anteriores a 4.1.4 e 4.2.2, existe uma vulnerabilidade de cross-site scripting armazenado (XSS) nas visualizações do ModelAdmin dentro da interface administrativa do Wagtail. Um usuário com uma conta de editor de permissões limitadas para o administrador do Wagtail poderia potencialmente criar páginas e documentos que, ao serem visualizados por um usuário com privilégios mais elevados, poderiam executar ações usando as credenciais desse usuário. A vulnerabilidade não é explorável por visitantes comuns do site sem acesso à interface administrativa do Wagtail e afeta apenas sites com o ModelAdmin habilitado. Para páginas, a vulnerabilidade está na visualização "Escolher uma página pai" do ModelAdmin (`ChooseParentView`), disponível ao gerenciar páginas via ModelAdmin. Para documentos, a vulnerabilidade está na visualização de Inspeção do ModelAdmin (`InspectView`) ao exibir campos de documento. Versões corrigidas foram lançadas como Wagtail 4.1.4 e Wagtail 4.2.2. Os proprietários dos sites que não conseguirem atualizar para as novas versões podem desabilitar ou substituir a funcionalidade correspondente.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.