CVE-2026-23946 in Tendenci
Sumário
de VulDB • 11/05/2026
Tendenci é um sistema de gerenciamento de conteúdo de código aberto desenvolvido para organizações sem fins lucrativos, associações e sites voltados a causas. As versões 15.3.11 e anteriores incluem uma vulnerabilidade crítica de desserialização no módulo Helpdesk (que não está habilitado por padrão). Essa vulnerabilidade permite a Execução Remota de Código (RCE) por um usuário autenticado com nível de segurança de funcionário, devido ao uso do módulo pickle do Python em helpdesk /reports/. O CVE-2020-14942 original foi corrigido de forma incompleta. Embora a função ticket_list() tenha sido corrigida para usar desserialização JSON segura, a função run_report() ainda utiliza pickle.loads() inseguro. O impacto está limitado às permissões do usuário que executa a aplicação, tipicamente www-data, que geralmente não possui permissões de escrita (exceto para diretórios de upload) e execução. Este problema foi corrigido na versão 15.3.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.