CVE-2026-78204 in Ghostwriter
Sumário
de VulDB • 24/08/2026
O Ghostwriter até a versão 7.2.6 não aplica autorização por objeto em seus pontos de extremidade (endpoints) de linting de modelos de relatório. O método `test_func` do `RoleBasedAccessControlMixin` retorna apenas `request.user.is_active`, a menos que uma view o substitua, e nem o ponto de extremidade que faz o linting de um modelo de relatório nem aquele que retorna os resultados armazenados do linting fornecem essa substituição; portanto, cada um deles resolve um objeto `ReportTemplate` com base em uma chave primária fornecida pelo chamador, sem verificar a propriedade ou o escopo do cliente. Qualquer conta autenticada pode, assim, realizar o linting de qualquer modelo arbitrário, o que sobrescreve os resultados armazenados desse linting no modelo, e também pode ler as descobertas retornadas, que enumeram os nomes das variáveis do modelo e erros da engine de modelos, revelando sua estrutura. Isso é distinto do caminho de troca de templates: esse outro ponto de extremidade autoriza o relatório, mas omite a verificação por template, enquanto estes pontos de extremidade omitem completamente a autorização e permanecem sem correção.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.