CVE-2026-6578
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W DjangoBlog do wersji 2.1.0.0 wykryto lukę w pliku djangoblog/settings.py polegającą na użyciu zaszytych na stałe danych uwierzytelniających (SECRET_KEY). Atak można przeprowadzić zdalnie, wymaga on jednak wysokiej złożoności. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Ujawniony SECRET_KEY może pozwolić na podszywanie się pod sesje lub podpisywanie tokenów, co prowadzi do przejęcia kont lub eskalacji uprawnień. Publiczny exploit zwiększa ryzyko wykorzystania w praktyce.
Rekomendacja
Zaktualizuj DjangoBlog do wersji nowszej niż 2.1.0.0 lub wygeneruj unikalny SECRET_KEY i przechowuj go poza repozytorium (np. w zmiennych środowiskowych). Monitoruj logi pod kątem nietypowych prób logowania.
Inne podatności w DjangoBlog
Zobacz wszystkie- CVE-2026-6611Niskie
W projekcie liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność polegającą na użyciu zaszyfrowanego klucza zapisanego na stałe w pliku djangoblog/settings.py komponentu File Upload Endpoint. Manipulacja argumentem SECRET_KEY prowadzi do użycia hardkodowanego klucza kryptograficznego. Eksploatacja zdalna jest możliwa, ale złożoność ataku ocenia się jako wysoką, a eksploatowalność jako trudną.
- CVE-2026-6610Niskie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto lukę w nieznanej funkcji pliku djangoblog/settings.py, związaną z obsługą ustawień. Manipulacja argumentami USER/PASSWORD prowadzi do osadzenia poufnych danych uwierzytelniających na stałe w kodzie (hard-coded credentials). Atak można przeprowadzić zdalnie, ale wymaga wysokiego poziomu złożoności. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-6609Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność w funkcji form_valid w pliku oauth/views.py. Manipulacja argumentem oauthid prowadzi do niewłaściwej autoryzacji, a atak można zainicjować zdalnie. Exploit został opublikowany.
- CVE-2026-6579Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 zidentyfikowano słabość w nieznanej funkcji pliku blog/views.py w komponencie Clean Endpoint, która powoduje brak uwierzytelniania. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2026-6576Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność w funkcji CommandHandler pliku servermanager/api/commonapi.py w komponencie WeChat Bot Interface. Manipulacja argumentem Source prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; dostawca został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in liangliangyy DjangoBlog up to 2.1.0.0. This affects an unknown function of the file djangoblog/settings.py of the component Setting Handler. The manipulation of the argument SECRET_KEY results in hard-coded credentials. The attack can be launched remotely. The attack requires a high level of complexity. The exploitability is reported as difficult. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS