CVE-2024-32882

Wagtail, Django əsasında qurulmuş açıq mənbəli məzmun idarəetmə sistemidir. Təsirə məruz qalan versiyalarda, əgər bir model `wagtail.contrib.settings` modulu və ya `ModelViewSet` vasitəsilə redaktə üçün əlçatan edilibsə və `FieldPanel`-dəki `permission` arqumentindən modelin bir və ya bir neçə sahəsinə girişi daha da məhdudlaşdırmaq üçün istifadə olunubsa, model üzərində redaktə icazəsi olan lakin konkret sahəyə icazəsi olmayan istifadəçi, həmin sahə üzrindəki icazə yoxlamasını yan keçən HTTP POST sorğusu hazırlaya və onun dəyərini yeniləyə bilər. Bu zəiflik, Wagtail admin panelinə girişi olmayan adi sayt ziyarətçisi və ya sözügedən modelə redaktə icazəsi verilməmiş istifadəçi tərəfindən istismar edilə bilməz. Səhifələr və snippet-lər üçün redaktə interfeysləri də təsirlənmir. Düzəliş edilmiş versiyalar Wagtail 6.0.3 və 6.1 kimi buraxılıb. 6.0-dan əvvəlki Wagtail versiyaları təsirlənmir. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Yenilənmiş versiyaya keçid edə bilməyən sayt sahibləri bu zəifliyin qarşısını aşağıdakı yollarla ala bilərlər: 1. `ModelViewSet` vasitəsilə qeydiyyata alınmış modelləri bunun əvəzinə snippet kimi qeydiyyatdan keçirin; 2. Parametr (settings) modelləri üçün məhdudiyyətli sahələri ayrıca parametr modelinə yerləşdirin və icazələri model səviyyəsində konfiqurasiya edin.