CVE-2026-61663 in django CMS
Сводка
по VulDB • 21.08.2026
django CMS — это простая в использовании и удобная для разработчиков система управления контентом предприятия, работающая на базе Django. До версии 5.0.9 функция render_object_structure не проверяет авторизацию объектов, отличных от PageContent, которые используют PlaceholderRelationField. Активный пользователь с правами персонала (staff), не имеющий прав cms.use_structure или разрешений уровня модели на просмотр или изменение объекта, может запросить конечную точку //admin/cms/placeholder/object/<content_type_id>/structure/<object_id>/, подставляя предположительные значения content_type_id и object_id. В ответе раскрываются имена слотов заполнителей (placeholder slot names), древовидная структура плагинов, идентификаторы плагинов, метки и факт существования объектов для редактируемых на фронтенде элементов. Исправление применяет проверку user_can_view_placeholder_source к ветке не-PageContent, сохраняя при этом панель структуры в режиме «только чтение» для пользователей с правами только на просмотр. Данная проблема исправлена в версиях 5.0.9 и выше.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.