CVE-2026-6610
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto lukę w nieznanej funkcji pliku djangoblog/settings.py, związaną z obsługą ustawień. Manipulacja argumentami USER/PASSWORD prowadzi do osadzenia poufnych danych uwierzytelniających na stałe w kodzie (hard-coded credentials). Atak można przeprowadzić zdalnie, ale wymaga wysokiego poziomu złożoności. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Osadzone na stałe poświadczenia mogą zostać wykorzystane przez atakującego do nieautoryzowanego dostępu do systemu lub bazy danych. Ponieważ exploit jest publiczny, ryzyko wykorzystania wzrasta, mimo wysokiej złożoności ataku.
Rekomendacja
Zaktualizuj DjangoBlog do najnowszej wersji, jeśli dostępna jest poprawka, lub usuń zakodowane na stałe poświadczenia i zastąp je bezpiecznym mechanizmem zarządzania sekretami. Monitoruj logi pod kątem nieautoryzowanego dostępu.
Inne podatności w DjangoBlog
Zobacz wszystkie- CVE-2026-6611Niskie
W projekcie liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność polegającą na użyciu zaszyfrowanego klucza zapisanego na stałe w pliku djangoblog/settings.py komponentu File Upload Endpoint. Manipulacja argumentem SECRET_KEY prowadzi do użycia hardkodowanego klucza kryptograficznego. Eksploatacja zdalna jest możliwa, ale złożoność ataku ocenia się jako wysoką, a eksploatowalność jako trudną.
- CVE-2026-6609Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność w funkcji form_valid w pliku oauth/views.py. Manipulacja argumentem oauthid prowadzi do niewłaściwej autoryzacji, a atak można zainicjować zdalnie. Exploit został opublikowany.
- CVE-2026-6579Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 zidentyfikowano słabość w nieznanej funkcji pliku blog/views.py w komponencie Clean Endpoint, która powoduje brak uwierzytelniania. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2026-6578Średnie
W DjangoBlog do wersji 2.1.0.0 wykryto lukę w pliku djangoblog/settings.py polegającą na użyciu zaszytych na stałe danych uwierzytelniających (SECRET_KEY). Atak można przeprowadzić zdalnie, wymaga on jednak wysokiej złożoności. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2026-6576Średnie
W liangliangyy DjangoBlog do wersji 2.1.0.0 wykryto podatność w funkcji CommandHandler pliku servermanager/api/commonapi.py w komponencie WeChat Bot Interface. Manipulacja argumentem Source prowadzi do wstrzyknięcia poleceń, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; dostawca został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in liangliangyy DjangoBlog up to 2.1.0.0. The impacted element is an unknown function of the file djangoblog/settings.py of the component Setting Handler. Such manipulation of the argument USER/PASSWORD leads to hard-coded credentials. The attack may be launched remotely. The attack requires a high level of complexity. The exploitability is regarded as difficult. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS