CVE-2026-88421

WysokieCVSS 7.5

Opublikowano: 25/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 25/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Nieprawidłowa kontrola dostępu w komponencie BlogPage.get_entries() w APSL puput v1.2.1 do v2.2.0 pozwala nieuwierzytelnionym atakującym na przeglądanie zastrzeżonych wpisów blogowych poprzez indeks bloga, archiwa tagów, kategorii, autora i daty, widżety paska bocznego lub kanał RSS.

Ocena ryzyka

Nieuwierzytelnieni atakujący mogą uzyskać dostęp do zastrzeżonych treści blogowych, co może prowadzić do naruszenia poufności.

Rekomendacja

Zaktualizuj APSL puput do wersji zawierającej poprawkę lub wdroż poprawne sprawdzanie uprawnień w komponencie BlogPage.get_entries().

Inne podatności w APSL puput

CVE-2026-88420Średnie
W APSL puput w wersjach od v1.2.1 do v2.2.0 występuje podatność typu reflected XSS w komponencie EntryAbstract.save(). Uwierzytelniony atakujący z uprawnieniami Wagtail Editor może wykonać dowolny kod w przeglądarce ofiary za pomocą spreparowanego ładunku.

Oryginalny opis (angielski, źródło NVD)

Incorrect access control in the BlogPage.get_entries() component of APSL puput v1.2.1 through v2.2.0 allows unauthenticated attackers to view restricted blog entries via the blog index, the tag, category, author and date archives, the sidebar widgets, or the RSS feed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS