CVE-2026-55468

W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2 występuje podatność na odbity XSS w widoku dynamicznego generatora URL obrazów w panelu administracyjnym. Użytkownik z ograniczonymi uprawnieniami edytora może stworzyć złośliwy URL, który po otwarciu przez administratora wykona działania w jego imieniu.

W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, użytkownik z niskim poziomem uprawnień posiadający uprawnienie "Can submit translation" może tworzyć tłumaczenia dla dowolnych stron, w tym tych, do których nie ma dostępu. Luka została załatana w wersjach 7.0.8, 7.3.3 i 7.4.2.

W Wagtail, systemie zarządzania treścią opartym na Django, brakuje kontroli uprawnień w punkcie końcowym podglądu obrazów. Użytkownik z dostępem do panelu administracyjnego może podglądać dowolny obraz, ale nie są ujawniane dane samego obiektu obrazu. Luka nie jest dostępna dla zwykłych odwiedzających stronę.

W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, uwierzytelniony użytkownik administracyjny może wywołać kosztowne przetwarzanie renderowania za pomocą celowo spreparowanych specyfikacji filtrów, co może prowadzić do degradacji usługi. Podatność nie jest dostępna dla zwykłego odwiedzającego stronę bez dostępu do panelu administracyjnego Wagtail.

W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, endpoint wyboru dokumentów i obrazów nieprawidłowo wyświetlał elementy, do których użytkownik nie miał uprawnień wyboru. Osoba z dostępem do panelu administracyjnego Wagtail mogła zobaczyć nazwy plików, nazwy i adresy URL dokumentów oraz obrazów w tych kolekcjach.