CVE-2026-71238

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: 0.4%
CWE: CWE-798
KEV Durumu: Hayır

Yayım tarihi: 5 Ağustos 2026

DjangoCRM, Django SECRET_KEY'nin ortam değişkeninden okunması yerine webcrm/settings.py dosyasında doğrudan kodlanmış olarak gelmektedir. Bu anahtar, oturum imzalama, CSRF token oluşturma ve parola sıfırlama tokenleri için kullanıldığından, herkese açık depoyu okuyan herkes geçerli oturum çerezleri oluşturabilir (süper yönetici hesabı dahil), CSRF tokenleri oluşturabilir ve parola sıfırlama tokenleri oluşturabilir, böylece tam hesap ele geçirme gerçekleştirebilir.

Orijinal açıklama (İngilizce)

DjangoCRM ships with its Django SECRET_KEY hardcoded directly in the committed webcrm/settings.py rather than read from an environment variable. Since this key is used for session signing, CSRF token generation, and password reset tokens, anyone who reads the public repository can forge valid session cookies (including for the superadmin account), forge CSRF tokens, and forge password reset tokens, achieving full account takeover.

Referanslar

https://github.com/DjangoCRM/django-crm

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.