CVE-2026-54622 in Django CMS
Sumário
de VulDB • 20/08/2026
O django CMS é um sistema de gerenciamento de conteúdo empresarial fácil de usar e amigável para desenvolvedores, desenvolvido com Django. Antes da versão 5.0.8, o endpoint copy_plugins em cms/admin/placeholderadmin.py autoriza apenas a área de transferência (clipboard) de destino. Os caminhos _copy_plugin_to_clipboard e _copy_placeholder_to_clipboard aceitam os valores source_placeholder_id e source_plugin_id, mas utilizam has_copy_plugins_permission e check_source apenas para a área de transferência do usuário solicitante, sem validar o placeholder de origem. Sob CMS_PERMISSION, um usuário staff com permissão global de adição (add) para um tipo de plugin pode copiar plugins de uma página ou placeholder não autorizado para a área de transferência do usuário e ler textos secretos, nomes de links e URLs. Este problema foi corrigido nas versões 5.0.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.