CVE-2026-61663 in django CMS
Tóm tắt
Bởi VulDB • 20/08/2026
django CMS là một hệ thống quản lý nội dung doanh nghiệp dễ sử dụng và thân thiện với nhà phát triển, được xây dựng trên nền tảng Django. Trước phiên bản 5.0.9, hàm render_object_structure không xác thực quyền đối với các đối tượng non-PageContent sử dụng PlaceholderRelationField. Một người dùng staff đang hoạt động nhưng không có cms.use_structure hoặc quyền xem/thay đổi cấp mô hình (model-level view or change permission) có thể yêu cầu endpoint //admin/cms/placeholder/object/<content_type_id>/structure/<object_id>/ bằng cách dự đoán các giá trị content_type_id và object_id. Phản hồi tiết lộ tên slot placeholder, cây plugin, định danh plugin, nhãn và sự tồn tại của đối tượng dành cho các đối tượng hỗ trợ chỉnh sửa frontend. Bản vá áp dụng user_can_view_placeholder_source vào nhánh non-PageContent trong khi vẫn giữ bảng cấu trúc (structure board) ở chế độ chỉ đọc đối với người dùng có quyền xem. Vấn đề này đã được khắc phục trong các phiên bản 5.0.9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.