PT-2026-44073 · Relate+1 · Relate+1

Ruslan Armahov · Publicado 2026-05-27 · Atualizado 2026-05-27 · CVE-2026-42197

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas RELATE versões anteriores ao commit 555f0efb1c5bd7531c07cd73724d7e566a81f620

Description Um problema de cross-site scripting armazenado permite que alunos matriculados executem JavaScript arbitrário na sessão do navegador de um administrador, o que pode levar ao controle total da conta administrativa. A função get user() em ParticipationAdmin utiliza mark safe combinado com a formatação de string % do Python para renderizar entradas controladas pelo usuário, ignorando a a escape automática de HTML do Django. Os valores são derivados dos campos first name e last name do modelo User, que podem ser editados por usuários autenticados através do endpoint '/profile/' sem sanitização. O script é executado quando um administrador visualiza a lista de Participação no painel de administração do Django.

Recommendations Atualizar para o commit 555f0efb1c5bd7531c07cd73724d7e566a81f620.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-42197

Produtos afetados

Django

Relate

Referências · 5

• https://github.com/inducer/relate/security/advisories/GHSA-37xm-vhx8-g6w3 · Nota
• https://github.com/inducer/relate/commit/555f0efb1c5bd7531c07cd73724d7e566a81f620 · Nota
• https://github.com/inducer/relate/blob/550b8c54eb4d5f3e5f6698dcba361bf34d715599/course/admin.py#L347-L368 · Nota
• https://twitter.com/CVEnew/status/2059718103307899209 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42197 · Nota de Segurança