CVE-2026-61663 in django CMS
摘要
由 VulDB • 2026-08-20
django CMS è un sistema di gestione dei contenuti (CMS) per aziende, facile da usare e orientato agli sviluppatori, basato su Django. Prima della versione 5.0.9, la funzione `render_object_structure` non autorizzava correttamente gli oggetti diversi da PageContent che utilizzano PlaceholderRelationField. Un utente staff attivo privo delle permessi cms.use_structure o dei permessi di visualizzazione/modifica a livello di modello può richiedere l'endpoint //admin/cms/placeholder/object/<content_type_id>/structure/<object_id>/ con valori content_type_id e object_id indovinati. La risposta rivela i nomi degli slot placeholder, gli alberi dei plugin, gli identificatori dei plugin, le etichette e l'esistenza dell'oggetto per gli oggetti editabili nel frontend. La correzione applica `user_can_view_placeholder_source` al ramo non-PageContent, mantenendo la board della struttura in sola lettura per gli utenti con permessi di sola visualizzazione. Questo problema è stato risolto nelle versioni 5.0.9 e successive.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.