CVE-2026-6611
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W projekcie liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność polegającą na użyciu zaszyfrowanego klucza zapisanego na stałe w pliku djangoblog/settings.py komponentu File Upload Endpoint. Manipulacja argumentem SECRET_KEY prowadzi do użycia hardkodowanego klucza kryptograficznego. Eksploatacja zdalna jest możliwa, ale złożoność ataku ocenia się jako wysoką, a eksploatowalność jako trudną.
Ocena ryzyka
Ujawnienie lub przewidywalność klucza SECRET_KEY może umożliwić podrobienie sesji lub tokenów, co osłabia bezpieczeństwo aplikacji. Wysoka złożoność ataku ogranicza, ale nie eliminuje ryzyka.
Rekomendacja
Zastąp hardkodowany SECRET_KEY unikalnym, losowym kluczem przechowywanym poza kodem źródłowym (np. w zmiennych środowiskowych) i rotuj klucz. Śledź informacje od projektu o ewentualnej poprawce.
Inne podatności w DjangoBlog
Zobacz wszystkie- CVE-2026-6610Niskie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto lukę w nieznanej funkcji pliku djangoblog/settings.py, związaną z obsługą ustawień. Manipulacja argumentami USER/PASSWORD prowadzi do osadzenia poufnych danych uwierzytelniających na stałe w kodzie (hard-coded credentials). Atak można przeprowadzić zdalnie, ale wymaga wysokiego poziomu złożoności. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-6609Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność w funkcji form_valid w pliku oauth/views.py. Manipulacja argumentem oauthid prowadzi do niewłaściwej autoryzacji, a atak można zainicjować zdalnie. Exploit został opublikowany.
- CVE-2026-6579Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 zidentyfikowano słabość w nieznanej funkcji pliku blog/views.py w komponencie Clean Endpoint, która powoduje brak uwierzytelniania. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2026-6578Średnie
W DjangoBlog do wersji 2.1.0.0 wykryto lukę w pliku djangoblog/settings.py polegającą na użyciu zaszytych na stałe danych uwierzytelniających (SECRET_KEY). Atak można przeprowadzić zdalnie, wymaga on jednak wysokiej złożoności. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-6576Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność w funkcji CommandHandler pliku servermanager/api/commonapi.py w komponencie WeChat Bot Interface. Manipulacja argumentem Source prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; dostawca został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in liangliangyy DjangoBlog up to 2.1.0.0. This affects an unknown function of the file djangoblog/settings.py of the component File Upload Endpoint. Performing a manipulation of the argument SECRET_KEY results in use of hard-coded cryptographic key . Remote exploitation of the attack is possible. The attack's complexity is rated as high. The exploitability is reported as difficult. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS