Podatności DjangoCRM
3 znanych podatności CVE w DjangoCRM, przetłumaczonych i ocenionych.
- CVE-2026-71238Krytyczne
DjangoCRM ma twardo zakodowany klucz SECRET_KEY Django bezpośrednio w pliku webcrm/settings.py, zamiast odczytywać go ze zmiennej środowiskowej. Ponieważ klucz ten jest używany do podpisywania sesji, generowania tokenów CSRF i tokenów resetowania hasła, każdy, kto przeczyta publiczne repozytorium, może sfałszować ważne ciasteczka sesji (w tym dla konta superadmina), tokeny CSRF i tokeny resetowania hasła, osiągając pełne przejęcie konta.
- CVE-2026-71240Średnie
W DjangoCRM widok toggle_default_sorting jest jedyną trasą w common/urls.py, która nie wymaga logowania ani uprawnień personelu. Przekierowuje na podany przez użytkownika parametr next_url po sprawdzeniu tylko secure_url, które blokuje tylko przekierowania między domenami, ale pozwala na dowolną ścieżkę w obrębie tej samej domeny bez uwierzytelnienia.
- CVE-2026-71239Wysokie
Moduł massmail w DjangoCRM renderuje kontrolowane przez użytkownika pola EmlMessage (subject, content) przez konstruktor Template Django bez sanityzacji, w co najmniej trzech miejscach: message_previews.py, email_creators.py i helpers.py.