CVE-2026-71238
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
DjangoCRM ma twardo zakodowany klucz SECRET_KEY Django bezpośrednio w pliku webcrm/settings.py, zamiast odczytywać go ze zmiennej środowiskowej. Ponieważ klucz ten jest używany do podpisywania sesji, generowania tokenów CSRF i tokenów resetowania hasła, każdy, kto przeczyta publiczne repozytorium, może sfałszować ważne ciasteczka sesji (w tym dla konta superadmina), tokeny CSRF i tokeny resetowania hasła, osiągając pełne przejęcie konta.
Ocena ryzyka
Ujawnienie klucza SECRET_KEY umożliwia atakującemu pełne przejęcie kont, w tym kont administratora, co może prowadzić do całkowitej kompromitacji systemu i danych.
Rekomendacja
Należy natychmiast zmienić SECRET_KEY na losową wartość i przechowywać go w zmiennej środowiskowej. Dodatkowo należy unieważnić wszystkie istniejące sesje i tokeny po zmianie klucza.
Oryginalny opis (angielski, źródło NVD)
DjangoCRM ships with its Django SECRET_KEY hardcoded directly in the committed webcrm/settings.py rather than read from an environment variable. Since this key is used for session signing, CSRF token generation, and password reset tokens, anyone who reads the public repository can forge valid session cookies (including for the superadmin account), forge CSRF tokens, and forge password reset tokens, achieving full account takeover.