Podatności Wagtail

W Wagtail, systemie zarządzania treścią opartym na Django, wewnętrzne API Pages admina zwraca pola stron zdefiniowane w api_fields bez wystarczającej kontroli dostępu. Użytkownik z dostępem administracyjnym do Wagtail może pobrać treść stron w wersji roboczej i opublikowanej, która powinna być ograniczona. Poprawki wydano w wersjach 7.0.9, 7.3.4, 7.4.3 i 8.0rc2.

W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2 występuje podatność na odbity XSS w widoku dynamicznego generatora URL obrazów w panelu administracyjnym. Użytkownik z ograniczonymi uprawnieniami edytora może stworzyć złośliwy URL, który po otwarciu przez administratora wykona działania w jego imieniu.

W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, użytkownik z niskim poziomem uprawnień posiadający uprawnienie "Can submit translation" może tworzyć tłumaczenia dla dowolnych stron, w tym tych, do których nie ma dostępu. Luka została załatana w wersjach 7.0.8, 7.3.3 i 7.4.2.

W Wagtail, systemie zarządzania treścią opartym na Django, brakuje kontroli uprawnień w punkcie końcowym podglądu obrazów. Użytkownik z dostępem do panelu administracyjnego może podglądać dowolny obraz, ale nie są ujawniane dane samego obiektu obrazu. Luka nie jest dostępna dla zwykłych odwiedzających stronę.

W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, uwierzytelniony użytkownik administracyjny może wywołać kosztowne przetwarzanie renderowania za pomocą celowo spreparowanych specyfikacji filtrów, co może prowadzić do degradacji usługi. Podatność nie jest dostępna dla zwykłego odwiedzającego stronę bez dostępu do panelu administracyjnego Wagtail.

W Wagtail, systemie zarządzania treścią opartym na Django, w wersjach przed 7.0.8, 7.3.3 i 7.4.2, endpoint wyboru dokumentów i obrazów nieprawidłowo wyświetlał elementy, do których użytkownik nie miał uprawnień wyboru. Osoba z dostępem do panelu administracyjnego Wagtail mogła zobaczyć nazwy plików, nazwy i adresy URL dokumentów oraz obrazów w tych kolekcjach.