CVE-2020-15118

Wagtail 2.7.4 ve 2.9.3 versiyonlarından öncekilerde, bir form sayfa tipi `wagtail.contrib.forms` uygulaması aracılığıyla Wagtail editörlerinin erişimine açıldığında ve sayfa şablonu form.as_p gibi Django'nun standart form oluşturma yardımcıları kullanılarak oluşturulduğunda, bir form alanının yardım metni içinde kullanılan tüm HTML etiketleri sayfada kaçış karakterleri uygulanmadan (unescaped) işlenir. Yardım metni içinde HTML'e izin verilmesi Django tarafından bilinçli bir tasarım kararıdır; ancak politika gereği Wagtail, yetki yükseltme dahil olmak üzere siteler arası betik çalıştırma (XSS) saldırılarını gerçekleştirmek için potansiyel olarak kullanılabileceği için varsayılan olarak editörlerin rastgele HTML eklemesine izin vermez. Bu nedenle, bu işlevin editör düzeyindeki kullanıcılara sunulmamış olması gerekirdi. Güvenlik açığı, Wagtail admin paneline erişimi olmayan sıradan bir site ziyaretçisi tarafından istismar edilemez. Yamalanmış versiyonlar Wagtail 2.7.4 (LTS 2.7 dalı için) ve Wagtail 2.9.3 (güncel 2.9 dalı için) olarak yayınlanmıştır. Bu versiyonlarda, HTML etiketlerinin dahil edilmesini önlemek için yardım metnine kaçış karakterleri uygulanacaktır. Yardım metni içinde HTML kullanımını yeniden etkinleştirmek isteyen (ve bunun editörler tarafından istismar edilmesi riskini kabul eden) site sahipleri, yapılandırma ayarlarında WAGTAILFORMS_HELP_TEXT_ALLOW_HTML = True şeklinde ayarlama yapabilirler. Yeni versiyonlara yükseltme yapamayan site sahipleri, Django dokümantasyonuna uygun olarak formları alan bazlı işleterek ancak yardım metnini yazdırırken |safe filtresini kullanmayarak form sayfa şablonlarını güvenli hale getirebilirler.