CVE-2026-71240
Açıklama
DjangoCRM'in toggle_default_sorting görünümü, common/urls.py içindeki login_required veya staff_member_required ile sarmalanmamış tek rotadır ve yalnızca hedef ana bilgisayarın mevcut sitenin alan adıyla eşleştiğini doğrulayan (yalnızca alan adlar arası yönlendirmeleri engelleyen) secure_url(next_url) kontrolünden sonra kullanıcı tarafından sağlanan next_url GET parametresine yönlendirme yapar; bu durum, herhangi bir kimlik doğrulaması gerekmeksizin aynı site üzerindeki tüm yollara erişime izin verir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| DjangoCRM django-crm | 0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.