CVE-2026-71238

概要

DjangoCRMは、コミットされた`webcrm/settings.py`にDjangoの`SECRET_KEY`を環境変数から読み取るのではなく、直接ハードコードして同梱しています。このキーはセッション署名、CSRFトークン生成、パスワードリセットトークンに使用されるため、公開リポジトリを読んだ誰もが有効なセッションCookie（スーパー管理者アカウント用を含む）を偽造し、CSRFトークンを偽造し、パスワードリセットトークンを偽造して、完全なアカウント乗っ取りを達成できます。

• 1day-archive研究

  最近公開されたCVEに関する技術的な深掘りと根本原因の分析 - パッチのリバースエンジニアリング、概念実証（PoC）の構築、1-dayウィンドウ内での悪用手法の文書化。