CVE-2026-93455
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka django-page-cms do wersji 2.0.13 nieprawidłowo weryfikuje uprawnienia do stron w widokach pomocniczych panelu administracyjnego. Każde konto ze statusem staff może odczytywać dowolną treść stron oraz ścieżki przechowywanych plików multimedialnych. Atakujący z niskimi uprawnieniami może enumerować identyfikatory treści i uzyskiwać dostęp do niepublikowanych wersji roboczych, list stron i ścieżek plików bez odpowiedniej autoryzacji.
Ocena ryzyka
Osoby z podstawowymi uprawnieniami staff mogą uzyskać dostęp do niepublikowanych treści i wewnętrznych ścieżek plików, co stanowi wyciek informacji. Może to prowadzić do ujawnienia danych, które nie były przeznaczone do publicznego wglądu.
Rekomendacja
Zaktualizuj django-page-cms do wersji nowszej niż 2.0.13 lub wdróż poprawkę producenta. Dodatkowo zweryfikuj i ogranicz uprawnienia kont staff do niezbędnego minimum.
Inne podatności w django-page-cms
Oryginalny opis (angielski, źródło NVD)
django-page-cms through 2.0.13 fails to properly validate page permissions in admin helper views, allowing any staff account to read arbitrary page content and stored media paths. Attackers with low-privilege staff credentials can enumerate content identifiers and access unpublished drafts, page listings, and file paths without proper authorization checks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS