CVE-2026-23946 in Tendenci
Tóm tắt
Bởi VulDB • 27/06/2026
Tendenci là một hệ thống quản lý nội dung mã nguồn mở được xây dựng dành cho các tổ chức phi lợi nhuận, hiệp hội và các trang web dựa trên mục đích xã hội. Các phiên bản từ 15.3.11 trở xuống bao gồm một lỗ hổng phân tích cú pháp đối tượng (deserialization) nghiêm trọng trong mô-đun Helpdesk (mô-đun này không được bật theo mặc định). Lỗ hổng này cho phép thực thi mã từ xa (RCE) bởi người dùng đã xác thực có cấp độ bảo mật nhân viên do việc sử dụng module pickle của Python trong thư mục helpdesk /reports/. CVE-2020-14942 ban đầu được vá không đầy đủ. Trong khi hàm ticket_list() đã được sửa để sử dụng phân tích cú pháp JSON an toàn, thì hàm run_report() vẫn đang sử dụng pickle.loads() không an toàn. Tác động bị giới hạn ở các quyền của người dùng chạy ứng dụng, thường là www-data, người này nói chung thiếu quyền ghi (ngoại trừ các thư mục tải lên) và thực thi. Vấn đề này đã được sửa trong phiên bản 15.3.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.