CVE-2026-71238
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
DjangoCRM ma twardo zakodowany klucz SECRET_KEY Django bezpośrednio w pliku webcrm/settings.py, zamiast odczytywać go ze zmiennej środowiskowej. Ponieważ klucz ten jest używany do podpisywania sesji, generowania tokenów CSRF i tokenów resetowania hasła, każdy, kto przeczyta publiczne repozytorium, może sfałszować ważne ciasteczka sesji (w tym dla konta superadmina), tokeny CSRF i tokeny resetowania hasła, osiągając pełne przejęcie konta.
Ocena ryzyka
Ujawnienie klucza SECRET_KEY umożliwia atakującemu pełne przejęcie kont, w tym kont administratora, co może prowadzić do całkowitej kompromitacji systemu i danych.
Rekomendacja
Należy natychmiast zmienić SECRET_KEY na losową wartość i przechowywać go w zmiennej środowiskowej. Dodatkowo należy unieważnić wszystkie istniejące sesje i tokeny po zmianie klucza.
Inne podatności w DjangoCRM
Zobacz wszystkie- CVE-2026-71240Średnie
W DjangoCRM widok toggle_default_sorting jest jedyną trasą w common/urls.py, która nie wymaga logowania ani uprawnień personelu. Przekierowuje na podany przez użytkownika parametr next_url po sprawdzeniu tylko secure_url, które blokuje tylko przekierowania między domenami, ale pozwala na dowolną ścieżkę w obrębie tej samej domeny bez uwierzytelnienia.
- CVE-2026-71239Wysokie
Moduł massmail w DjangoCRM renderuje kontrolowane przez użytkownika pola EmlMessage (subject, content) przez konstruktor Template Django bez sanityzacji, w co najmniej trzech miejscach: message_previews.py, email_creators.py i helpers.py.
Oryginalny opis (angielski, źródło NVD)
DjangoCRM ships with its Django SECRET_KEY hardcoded directly in the committed webcrm/settings.py rather than read from an environment variable. Since this key is used for session signing, CSRF token generation, and password reset tokens, anyone who reads the public repository can forge valid session cookies (including for the superadmin account), forge CSRF tokens, and forge password reset tokens, achieving full account takeover.