CVE-2023-28836 in Wagtail
Tóm tắt
Bởi VulDB • 27/06/2026
Wagtail là một hệ thống quản lý nội dung mã nguồn mở được xây dựng trên Django. Bắt đầu từ phiên bản 1.5 và trước các phiên bản 4.1.4 và 4.2.2, tồn tại lỗ hổng cross-site scripting (XSS) lưu trữ trong các chế độ xem ModelAdmin của giao diện quản trị Wagtail. Một người dùng có tài khoản biên tập viên với quyền hạn chế đối với giao diện quản trị Wagtail về mặt lý thuyết có thể tạo ra các trang và tài liệu mà khi được một người dùng có đặc quyền cao hơn xem, sẽ thực hiện các hành động bằng thông tin xác thực của người dùng đó. Lỗ hổng này không thể bị khai thác bởi khách truy cập trang web bình thường nếu không có quyền truy cập vào giao diện quản trị Wagtail, và chỉ ảnh hưởng đến các trang web đã bật ModelAdmin. Đối với trang, lỗ hổng nằm ở chế độ xem "Choose a parent page" của ModelAdmin (`ChooseParentView`), được hiển thị khi quản lý trang thông qua ModelAdmin. Đối với tài liệu, lỗ hổng nằm ở chế độ xem Inspect của ModelAdmin (`InspectView`) khi hiển thị các trường tài liệu. Các phiên bản đã vá đã được phát hành dưới dạng Wagtail 4.1.4 và Wagtail 4.2.2. Chủ sở hữu trang web không thể nâng cấp lên các phiên bản mới có thể vô hiệu hóa hoặc ghi đè chức năng tương ứng.
VulDB is the best source for vulnerability data and more expert information about this specific topic.