CVE-2026-75526

django CMS: Stored XSS in edit-mode plugin exception rendering

CVSS 3.1Medium

4.4/ 10.0

Опубликовано

20 августа 2026 г.

Обновлено

20 августа 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 5.0.9

Обновить django CMS до версии 5.0.9, где для экранирования заголовка применен format_html.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Хранимая XSS-уязвимость в django CMS при выводе ошибок рендеринга плагинов. Неэкранированный контент исполняется в браузере контент-менеджера.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

В версиях 5.0.8 и 5.0.9 метод ContentRenderer.render_placeholder передает пользовательские значения из get_short_description(), placeholder или текста ошибки в render_exception, где заголовок помечается как безопасный через mark_safe без предварительной санитизации.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольного JavaScript-кода в сессии авторизованного редактора при переходе в режим редактирования страницы независимо от значения settings.DEBUG.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

django-cmsdjango-cms

>= 5.0.8➔Fix: 5.0.9

——

>= 5.0.8➔Fix: 5.0.9

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-75526: django CMS: Stored XSS in edit-mode plugin exception rendering. URL: https://cve.futuretools.ru/cve/CVE-2026-75526

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_75526,
  title = {{CVE-2026-75526: django CMS: Stored XSS in edit-mode plugin exception rendering}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-75526}},
  note = {Оперативный инженерный анализ киберугроз}
}