PT-2026-79095 · Unknown · Django Cms
CVE-2026-63003
·
Publicado
2026-08-20
·
Atualizado
2026-09-10
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do Software Vulnerável e Versões Afetadas
django CMS versões anteriores a 5.0.9
Description
A duplicação de páginas carece de uma verificação de autorização ao nível do objeto na página de origem. Em
cms/admin/forms.py, DuplicatePageForm.source aceita qualquer Página, o construtor AddPageForm não restringe um campo de origem oculto, AddPageForm.clean não valida a origem em relação ao usuário e AddPageForm.save chama from source. Além disso, em cms/admin/pageadmin.py, duplicate e PageAdmin.has add permission verificam apenas se um usuário da equipe pode adicionar uma página. Quando CMS PERMISSION está habilitado, um valor de origem manipulado permite copiar cada marcador (placeholder) e plugin de uma página não autorizada com permissions=False, removendo restrições de visualização da origem e expondo conteúdo entre sites ou subárvores restritas.Recommendations
Atualizar para a versão 5.0.9.
Exploit
Correção
Missing Authorization
IDOR
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Django Cms