CVE-2026-6609
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność w funkcji form_valid w pliku oauth/views.py. Manipulacja argumentem oauthid prowadzi do niewłaściwej autoryzacji, a atak można zainicjować zdalnie. Exploit został opublikowany.
Ocena ryzyka
Niewłaściwa autoryzacja w przepływie OAuth może pozwolić atakującemu na obejście kontroli dostępu lub podszycie się pod użytkownika. Publiczny exploit zwiększa ryzyko wykorzystania.
Rekomendacja
Zaktualizuj DjangoBlog do wersji zawierającej poprawkę lub ogranicz dostęp do endpointów OAuth. Do czasu poprawki rozważ dodatkową walidację parametru oauthid po stronie serwera.
Inne podatności w DjangoBlog
Zobacz wszystkie- CVE-2026-6611Niskie
W projekcie liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność polegającą na użyciu zaszyfrowanego klucza zapisanego na stałe w pliku djangoblog/settings.py komponentu File Upload Endpoint. Manipulacja argumentem SECRET_KEY prowadzi do użycia hardkodowanego klucza kryptograficznego. Eksploatacja zdalna jest możliwa, ale złożoność ataku ocenia się jako wysoką, a eksploatowalność jako trudną.
- CVE-2026-6610Niskie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto lukę w nieznanej funkcji pliku djangoblog/settings.py, związaną z obsługą ustawień. Manipulacja argumentami USER/PASSWORD prowadzi do osadzenia poufnych danych uwierzytelniających na stałe w kodzie (hard-coded credentials). Atak można przeprowadzić zdalnie, ale wymaga wysokiego poziomu złożoności. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-6579Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 zidentyfikowano słabość w nieznanej funkcji pliku blog/views.py w komponencie Clean Endpoint, która powoduje brak uwierzytelniania. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2026-6578Średnie
W DjangoBlog do wersji 2.1.0.0 wykryto lukę w pliku djangoblog/settings.py polegającą na użyciu zaszytych na stałe danych uwierzytelniających (SECRET_KEY). Atak można przeprowadzić zdalnie, wymaga on jednak wysokiej złożoności. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-6576Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność w funkcji CommandHandler pliku servermanager/api/commonapi.py w komponencie WeChat Bot Interface. Manipulacja argumentem Source prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; dostawca został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in liangliangyy DjangoBlog up to 2.1.0.0. The affected element is the function form_valid of the file oauth/views.py. This manipulation of the argument oauthid causes improper authorization. The attack may be initiated remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS