Vulnerabilidad en Wagtail (CVE-2024-32882)

Wagtail es un sistema de gestión de contenidos de código abierto construido sobre Django. En las versiones afectadas, si un modelo se ha puesto a disposición para su edición a través del módulo `wagtail.contrib.settings` o `ModelViewSet`, y el argumento `permission` en `FieldPanel` se ha utilizado para restringir aún más el acceso a uno o más campos de En el modelo, un usuario con permiso de edición sobre el modelo pero no sobre el campo específico puede crear una solicitud HTTP POST que omita la verificación de permiso en el campo individual, permitiéndole actualizar su valor. Esta vulnerabilidad no es aprovechable por un visitante normal del sitio sin acceso al administrador de Wagtail, ni por un usuario al que no se le ha concedido acceso de edición al modelo en cuestión. Las interfaces de edición de páginas y fragmentos tampoco se ven afectadas. Se han lanzado versiones parcheadas como Wagtail 6.0.3 y 6.1. Las versiones de Wagtail anteriores a la 6.0 no se ven afectadas. Se recomienda a los usuarios que actualicen. Los propietarios de sitios que no puedan actualizar a una versión parcheada pueden evitar la vulnerabilidad de la siguiente manera: 1. Para los modelos registrados a través de `ModelViewSet`, registre el modelo como un fragmento; 2. Para los modelos de configuración, coloque los campos restringidos en un modelo de configuración separado y configure el permiso en el nivel del modelo.