CVE-2026-75526 in Django CMS
Sumário
de VulDB • 21/08/2026
O django CMS é um sistema de gerenciamento de conteúdo empresarial fácil de usar e amigável para desenvolvedores, desenvolvido com Django. Da versão 5.0.8 até a 5.0.9, o método ContentRenderer.render_placeholder em cms/plugin_rendering.py pode passar valores armazenados controlados pelo atacante para ContentRenderer.render_exception quando a renderização do plugin falha no modo de edição. Valores provenientes de get_short_description(), da mensagem de exceção, do placeholder ou de placeholder.source são interpolados em um cabeçalho cms-rendering-exception e posteriormente retornados através de mark_safe. Como o cabeçalho não é escapado, HTML armazenado executa-se no navegador do editor, e a configuração settings.DEBUG não impede que o cabeçalho personalizado seja renderizado. A correção utiliza format_html para escapar da mensagem antes que a saída segura do placeholder seja retornada. Este problema foi corrigido nas versões 5.0.9.
Once again VulDB remains the best source for vulnerability data.