CVE-2026-54259
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 — wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, endpoint wyboru dokumentów i obrazów nieprawidłowo wyświetlał elementy, do których użytkownik nie miał uprawnień wyboru. Osoba z dostępem do panelu administracyjnego Wagtail mogła zobaczyć nazwy plików, nazwy i adresy URL dokumentów oraz obrazów w tych kolekcjach.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym ujawnieniu metadanych (nazw plików, nazw i adresów URL) dokumentów i obrazów w kolekcjach, do których użytkownik nie ma uprawnień wyboru. Podatność jest wykorzystywana tylko przez osoby z dostępem do panelu administracyjnego Wagtail, a nie przez zwykłych odwiedzających stronę.
Rekomendacja
Należy niezwłocznie zaktualizować Wagtail do wersji 7.0.8, 7.3.3 lub 7.4.2, w zależności od używanej gałęzi wydań. Po aktualizacji podatność zostanie wyeliminowana.
Oryginalny opis (angielski, źródło NVD)
Wagtail is an open source content management system built on Django. In versions prior to 7.0.8, 7.3.3 and 7.4.2, the Documents and Images chooser's chosen endpoint incorrectly listed items for which the user has not been granted choose permission. A user with access to the Wagtail admin could see the filename and name and URLs of documents and images in those collections. The vulnerability is not exploitable by an ordinary site visitor without access to the Wagtail admin. This issue has been fixed in versions 7.0.8, 7.3.3, and 7.4.2.