CVE-2026-54259
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, endpoint wyboru dokumentów i obrazów nieprawidłowo wyświetlał elementy, do których użytkownik nie miał uprawnień wyboru. Osoba z dostępem do panelu administracyjnego Wagtail mogła zobaczyć nazwy plików, nazwy i adresy URL dokumentów oraz obrazów w tych kolekcjach.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym ujawnieniu metadanych (nazw plików, nazw i adresów URL) dokumentów i obrazów w kolekcjach, do których użytkownik nie ma uprawnień wyboru. Podatność jest wykorzystywana tylko przez osoby z dostępem do panelu administracyjnego Wagtail, a nie przez zwykłych odwiedzających stronę.
Rekomendacja
Należy niezwłocznie zaktualizować Wagtail do wersji 7.0.8, 7.3.3 lub 7.4.2, w zależności od używanej gałęzi wydań. Po aktualizacji podatność zostanie wyeliminowana.
Inne podatności w Wagtail
Zobacz wszystkie- CVE-2026-55468Średnie
W Wagtail, systemie zarządzania treścią opartym na Django, wewnętrzne API Pages admina zwraca pola stron zdefiniowane w api_fields bez wystarczającej kontroli dostępu. Użytkownik z dostępem administracyjnym do Wagtail może pobrać treść stron w wersji roboczej i opublikowanej, która powinna być ograniczona. Poprawki wydano w wersjach 7.0.9, 7.3.4, 7.4.3 i 8.0rc2.
- CVE-2026-54263Wysokie
W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2 występuje podatność na odbity XSS w widoku dynamicznego generatora URL obrazów w panelu administracyjnym. Użytkownik z ograniczonymi uprawnieniami edytora może stworzyć złośliwy URL, który po otwarciu przez administratora wykona działania w jego imieniu.
- CVE-2026-54262Średnie
W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, użytkownik z niskim poziomem uprawnień posiadający uprawnienie "Can submit translation" może tworzyć tłumaczenia dla dowolnych stron, w tym tych, do których nie ma dostępu. Luka została załatana w wersjach 7.0.8, 7.3.3 i 7.4.2.
- CVE-2026-54261Średnie
W Wagtail, systemie zarządzania treścią opartym na Django, brakuje kontroli uprawnień w punkcie końcowym podglądu obrazów. Użytkownik z dostępem do panelu administracyjnego może podglądać dowolny obraz, ale nie są ujawniane dane samego obiektu obrazu. Luka nie jest dostępna dla zwykłych odwiedzających stronę.
- CVE-2026-54260Średnie
W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, uwierzytelniony użytkownik administracyjny może wywołać kosztowne przetwarzanie renderowania za pomocą celowo spreparowanych specyfikacji filtrów, co może prowadzić do degradacji usługi. Podatność nie jest dostępna dla zwykłego odwiedzającego stronę bez dostępu do panelu administracyjnego Wagtail.
Oryginalny opis (angielski, źródło NVD)
Wagtail is an open source content management system built on Django. In versions prior to 7.0.8, 7.3.3 and 7.4.2, the Documents and Images chooser's chosen endpoint incorrectly listed items for which the user has not been granted choose permission. A user with access to the Wagtail admin could see the filename and name and URLs of documents and images in those collections. The vulnerability is not exploitable by an ordinary site visitor without access to the Wagtail admin. This issue has been fixed in versions 7.0.8, 7.3.3, and 7.4.2.