CVE-2026-54622

Nome do Software Vulnerável e Versões Afetadas django CMS versões anteriores a 5.0.8

Description O endpoint copy plugins em cms/admin/placeholderadmin.py autoriza apenas a área de transferência de destino. Os caminhos copy plugin to clipboard e copy placeholder to clipboard aceitam os valores source placeholder id e source plugin id, mas utilizam has copy plugins permission e check source apenas para a área de transferência do usuário solicitante, sem validar o placeholder de origem. Sob CMS PERMISSION, um usuário de equipe com permissão global de adição para um tipo de plugin pode copiar plugins de uma página ou placeholder não autorizado para a área de transferência do usuário e ler textos secretos, nomes de links e URLs.

Recommendations Atualizar para a versão 5.0.8.