Krytyczna

Deserialization of Untrusted Data in Tendenci

Ujawniono: 21.06.2020
Aktualizacja: 11.10.2026 12:19

Tendenci 12.0.10 allows unrestricted deserialization in apps\helpdesk\views\staff.py.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	tendenci	< 12.0.11	12.0.11

Odnośniki

Ocena CVSS 9.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-502
Platforma: Python (PyPI)
Paczka: tendenci
Ujawniono: 21.06.2020
Aktualizacja: 11.10.2026 12:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2020-112 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-jqmc-fxxp-r589 - CC BY 4.0

Historia podatności: tendenci

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 06.2020 02.2026
Bez poprawki: 3
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Średnia 4

Ujawnienia w latach

2020: 1
2021: 0
2022: 0
2023: 0
2024: 0
2025: 0
2026: 4

02.02.2026

A stored cross-site scripting (XSS) vulnerability in the Forums module of Tendenci CMS v15.3.7 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload.

Średnia · 5.4 CVE-2025-70960 <= 15.3.7 brak poprawki
02.02.2026

A stored cross-site scripting (XSS) vulnerability in the Jobs module of Tendenci CMS v15.3.7 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload.

Średnia · 5.4 CVE-2025-70959 <= 15.3.7 brak poprawki
28.01.2026

Tendenci 12.3.1 contains a CSV formula injection vulnerability in the contact form message field that allows attackers to inject malicious formulas during export. Attackers can submit crafted payloads

Średnia CVE-2020-36962 <= 12.3.1 brak poprawki
21.01.2026

Tendenci Affected by Authenticated Remote Code Execution via Pickle Deserialization

Średnia · 6.8 CVE-2026-23946 < 15.3.12 15.3.12
21.06.2020

Deserialization of Untrusted Data in Tendenci ten wpis

Krytyczna · 9.8 CVE-2020-14942 < 12.0.11 12.0.11

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację