CVE-2026-93456

WysokieCVSS 8.2

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

django-page-cms do wersji 2.0.13 zwalnia pięć widoków mutacji administracyjnych z ochrony CSRF w pliku pages/admin/views.py, umożliwiając atakującym sfałszowanie żądań modyfikujących treść strony. Zalogowani edytorzy odwiedzający złośliwą stronę mogą zostać nakłonieni do zapisania nieescapowanej treści, która jest renderowana wszystkim odwiedzającym, co umożliwia ataki typu stored cross-site scripting.

Ocena ryzyka

Podatność umożliwia ataki CSRF i stored XSS, co może prowadzić do modyfikacji treści strony oraz wykonania złośliwego skryptu w przeglądarkach odwiedzających.

Rekomendacja

Należy zaktualizować django-page-cms do wersji nowszej niż 2.0.13 oraz wdrożyć ochronę CSRF we wszystkich widokach mutacji administracyjnych.

Inne podatności w django-page-cms

CVE-2026-93455Średnie
Wtyczka django-page-cms do wersji 2.0.13 nieprawidłowo weryfikuje uprawnienia do stron w widokach pomocniczych panelu administracyjnego. Każde konto ze statusem staff może odczytywać dowolną treść stron oraz ścieżki przechowywanych plików multimedialnych. Atakujący z niskimi uprawnieniami może enumerować identyfikatory treści i uzyskiwać dostęp do niepublikowanych wersji roboczych, list stron i ścieżek plików bez odpowiedniej autoryzacji.

Oryginalny opis (angielski, źródło NVD)

django-page-cms through 2.0.13 exempts five admin mutation views from CSRF protection in pages/admin/views.py, allowing attackers to forge requests that modify page content. Signed-in editors visiting a malicious page can be tricked into storing unescaped content that renders to all visitors, enabling stored cross-site scripting attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS