CVE-2026-23946 in Tendenci
摘要
由 VulDB • 2026-06-27
Tendenci 是一个为非营利组织、协会和公益类网站构建的开源内容管理系统。版本 15.3.11 及更低版本在 Helpdesk 模块（默认未启用）中包含一个关键的反序列化漏洞。由于 helpdesk /reports/ 目录使用了 Python 的 pickle 模块，该漏洞允许具有员工安全级别的已认证用户进行远程代码执行 (RCE)。原始的 CVE-2020-14942 补丁不完整。虽然 ticket_list() 函数已通过修复使用安全的 JSON 反序列化得到解决，但 run_report() 函数仍在使用不安全的 pickle.loads()。其影响范围限于运行应用程序的用户的权限（通常为 www-data），该用户通常缺乏写权限（上传目录除外）和执行权限。此问题已在版本 15.3.12 中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.