CVE-2026-71239
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Moduł massmail w DjangoCRM renderuje kontrolowane przez użytkownika pola EmlMessage (subject, content) przez konstruktor Template Django bez sanityzacji, w co najmniej trzech miejscach: message_previews.py, email_creators.py i helpers.py.
Ocena ryzyka
Może to prowadzić do wstrzyknięcia szablonów (Server-Side Template Injection), co umożliwia wykonanie dowolnego kodu na serwerze lub kradzież danych.
Rekomendacja
Zaktualizuj DjangoCRM do wersji z poprawką lub zastosuj sanityzację danych wejściowych przed użyciem w szablonach.
Inne podatności w DjangoCRM
Zobacz wszystkie- CVE-2026-71238Krytyczne
DjangoCRM ma twardo zakodowany klucz SECRET_KEY Django bezpośrednio w pliku webcrm/settings.py, zamiast odczytywać go ze zmiennej środowiskowej. Ponieważ klucz ten jest używany do podpisywania sesji, generowania tokenów CSRF i tokenów resetowania hasła, każdy, kto przeczyta publiczne repozytorium, może sfałszować ważne ciasteczka sesji (w tym dla konta superadmina), tokeny CSRF i tokeny resetowania hasła, osiągając pełne przejęcie konta.
- CVE-2026-71240Średnie
W DjangoCRM widok toggle_default_sorting jest jedyną trasą w common/urls.py, która nie wymaga logowania ani uprawnień personelu. Przekierowuje na podany przez użytkownika parametr next_url po sprawdzeniu tylko secure_url, które blokuje tylko przekierowania między domenami, ale pozwala na dowolną ścieżkę w obrębie tej samej domeny bez uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
DjangoCRM's massmail module renders user-controlled EmlMessage fields (subject, content) through Django's Template constructor with no sanitization, in at least three locations: message_previews.py builds an f-string embedding message.subject/message.content directly into a Template call; email_creators.py passes eml_message.subject directly as a template string to Template; and helpers.py contains the same f-string interpolation pattern.