CVE-2026-54262
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, użytkownik z niskim poziomem uprawnień posiadający uprawnienie "Can submit translation" może tworzyć tłumaczenia dla dowolnych stron, w tym tych, do których nie ma dostępu. Luka została załatana w wersjach 7.0.8, 7.3.3 i 7.4.2.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do treści i możliwości manipulacji tłumaczeniami stron, co może prowadzić do wycieku poufnych informacji lub naruszenia integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Wagtail do wersji 7.0.8, 7.3.3 lub 7.4.2, w zależności od używanej gałęzi wydań.
Inne podatności w Wagtail
Zobacz wszystkie- CVE-2026-55468Średnie
W Wagtail, systemie zarządzania treścią opartym na Django, wewnętrzne API Pages admina zwraca pola stron zdefiniowane w api_fields bez wystarczającej kontroli dostępu. Użytkownik z dostępem administracyjnym do Wagtail może pobrać treść stron w wersji roboczej i opublikowanej, która powinna być ograniczona. Poprawki wydano w wersjach 7.0.9, 7.3.4, 7.4.3 i 8.0rc2.
- CVE-2026-54263Wysokie
W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2 występuje podatność na odbity XSS w widoku dynamicznego generatora URL obrazów w panelu administracyjnym. Użytkownik z ograniczonymi uprawnieniami edytora może stworzyć złośliwy URL, który po otwarciu przez administratora wykona działania w jego imieniu.
- CVE-2026-54261Średnie
W Wagtail, systemie zarządzania treścią opartym na Django, brakuje kontroli uprawnień w punkcie końcowym podglądu obrazów. Użytkownik z dostępem do panelu administracyjnego może podglądać dowolny obraz, ale nie są ujawniane dane samego obiektu obrazu. Luka nie jest dostępna dla zwykłych odwiedzających stronę.
- CVE-2026-54260Średnie
W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, uwierzytelniony użytkownik administracyjny może wywołać kosztowne przetwarzanie renderowania za pomocą celowo spreparowanych specyfikacji filtrów, co może prowadzić do degradacji usługi. Podatność nie jest dostępna dla zwykłego odwiedzającego stronę bez dostępu do panelu administracyjnego Wagtail.
- CVE-2026-54259Średnie
W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, endpoint wyboru dokumentów i obrazów nieprawidłowo wyświetlał elementy, do których użytkownik nie miał uprawnień wyboru. Osoba z dostępem do panelu administracyjnego Wagtail mogła zobaczyć nazwy plików, nazwy i adresy URL dokumentów oraz obrazów w tych kolekcjach.
Oryginalny opis (angielski, źródło NVD)
Wagtail is an open source content management system built on Django. In versions prior to 7.0.8, 7.3.3 and 7.4.2, a low-level user with the "Can submit translation" permission can create translations for any page, including those they do not have permissions for. This issue has been fixed in versions 7.0.8, 7.3.3, and 7.4.2.