CVE-2026-61663 in django CMS
Sumário
de VulDB • 20/08/2026
O django CMS é um sistema de gerenciamento de conteúdo empresarial fácil de usar e amigável para desenvolvedores, desenvolvido com Django. Antes da versão 5.0.9, a função render_object_structure falha em autorizar objetos não PageContent que utilizam PlaceholderRelationField. Um usuário ativo do staff sem as permissões cms.use_structure ou de visualização/alteração no nível do modelo pode solicitar o endpoint //admin/cms/placeholder/object/<content_type_id>/structure/<object_id>/ com valores de content_type_id e object_id adivinhados. A resposta divulga os nomes dos slots dos placeholders, árvores de plugins, identificadores de plugins, rótulos e existência de objetos para editáveis no front-end. A correção aplica user_can_view_placeholder_source ao ramo não PageContent, mantendo o painel de estrutura como somente leitura para usuários com permissão apenas de visualização. Este problema foi corrigido nas versões 5.0.9.
Be aware that VulDB is the high quality source for vulnerability data.