XSS (Cross-Site Scripting) dans django-cms (CVE-2026-75526)
Résumé
XSS dans django-cms (CVE-2026-75526). Risque d'opérations non autorisées ou de divulgation. Exploitable via message. Atténuation : mise à jour vers 5.0.9 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
When plugin rendering fails in edit mode, django CMS renders a cms-rendering-exception block so editors can see that a placeholder could not be rendered. Older code built that block's heading by interpolating the exception message, placeholder/source strings, and the failing plugin's short description directly into an HTML string, then returned the placeholder output as safe markup.
If an editor could store HTML in data used by a plugin's get_short_description() (or in other values interpolated into the exception message), and that plugin later raised during edit-mode rendering, the payload was parsed as HTML in the staff user's browser. This is a stored XSS condition in the CMS editing context.
Impact
The vulnerable path is only reached when placeholder rendering catches a plugin rendering exception:
try:
placeholder_content = "".join(plugin_content)
except Exception as e:
context["exc_info"] = sys.exc_info()
placeholder_content = self.render_exception("rendering placeholder", context, placeholder, editable)
render_exception() constructs a message from values that can include stored content:
value- the exception message.placeholder- the placeholder string representation.placeholder.source- the source object string representation, such as page content.instance.get_short_description()- plugin-provided summary text, often derived from plugin model fields.
In the vulnerable implementation, that messag…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-75526 a été découverte dans django-cms.
Des attaquants peuvent cibler un point d'entrée spécifique comme message à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 4.4/10.
Action : mettez à jour django-cms vers 5.0.9 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « django-cms CVE-2026-75526 » sur le site de l'éditeur.
CVE-2026-75526 (django-cms) — CWE-79 / CVSS v3 4.4
Vecteur d'attaque : distant (réseau)
Surface d'attaque : message / value / placeholder / placeholder.source
Correctif : 5.0.9 — appliquer immédiatement
Contournement : Until patched, reduce exposure by ensuring only fully trusted staff can edit plugins whose stored fields are included in get_short_description(), and fix or disable plugins that can be made to raise during edit-mode rendering.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une XSS (CWE-79) affecte django-cms. Les attaquants atteignent le code vulnérable via message.
Consultez l'avis de l'éditeur pour les versions affectées de django-cms. Surface d'attaque : message / value / placeholder / placeholder.source.
Gravité : Moyenne (CVSS 4.4/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 5.0.9.
Contournement : Until patched, reduce exposure by ensuring only fully trusted staff can edit plugins whose stored fields are included in get_short_description(), and fix or disable plugins that can be made to raise during edit-mode rendering.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'django-cms' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
django-cmsを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Until patched, reduce exposure by ensuring only fully trusted staff can edit plugins whose stored fields are included in `get_short_description()`, and fix or disable plugins that can be made to raise during edit-mode rendering.パッチが適用されるまでの応急処置として、Until patched, reduce exposure by ensuring only fully trusted staff can edit plugins whose stored fields are included in
get_short_description(), and fix or disable plugins that can be made to raise during edit-mode rendering. を実施。回避策の副作用 (機能低下) を確認した上で。 -
3Apply patch patch
Upgrade django-cms to 5.0.9ステージング環境で 5.0.9 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。