Iniciar sesión
Deutsch English Español Polski
Media

Wagtail has improper restriction handling on Documents and Images API

  • Publicada: 08.05.2026
  • Actualizado: 11.10.2026 12:19

Impact

The Documents and Images API incorrectly listed items in private collections. A user with access to the API could see the filename and name of documents and images in private collections.

Patches

Patched versions have been released as Wagtail 7.0.7 and 7.3.2. The new 7.4 LTS feature release also incorporates this fix.

Workarounds

Site owners using Wagtail's API can avoid the vulnerability by adding authentication to the Documents and Images APIs.

Acknowledgements

Wagtail thanks independent security researcher Sanjok Karki @thesanjok for reporting this issue.

For more information

If there are any questions or comments about this advisory:

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) wagtail < 7.0.7, >= 7.1, < 7.3.2 7.0.7, 7.3.2

Referencias

Puntuación CVSS 5.3/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Debilidad (CWE)
CWE-280
Plataforma
Python (PyPI)
Paquete
wagtail
Publicada
08.05.2026
Actualizado
11.10.2026 12:19

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2026-150 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-p5gm-92h4-6pv6 - CC BY 4.0

Historial de vulnerabilidades: wagtail

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (30) en el archivo
Entradas en total
30
Primera → última
04.2020 08.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Alta 5
  • Media 22
  • Baja 3

Divulgaciones por año

Gravedad:
  1. Wagtail: Reflected XSS in dynamic image URL generator view
    Alta · 7.3 CVE-2026-54263 >= 7.3, < 7.3.3, >= 7.4, < 7.4.2 7.3.3, 7.4.2
  2. Wagtail has improper restriction handling on Documents and Images API esta entrada
    Media · 5.3 CVE-2026-44201 < 7.0.7, >= 7.1, < 7.3.2 7.0.7, 7.3.2
  3. Wagtail regular expression denial-of-service via search query parsing
    Alta · 6.5 CVE-2024-39317 >= 6.0, < 6.0.6, >= 6.1, < 6.1.3, >= 2.0, < 5.2.6 6.0.6, 6.1.3, 5.2.6
  4. Wagtail vulnerable to stored Cross-site Scripting attack via ModelAdmin views
    Alta · 6.4 CVE-2023-28836 >= 1.5, < 4.1.4, >= 4.2, < 4.2.2 4.1.4, 4.2.2
  5. Improper validation of URLs ('Cross-site Scripting') in Wagtail rich text fields
    Alta · 6.1 CVE-2021-29434 < 2.11.7, >= 2.12, < 2.12.4 2.11.7, 2.12.4
  6. Cross-Site Scripting in Wagtail
    Alta · 5.7 CVE-2020-15118 >= 2.8rc1, < 2.9.3, < 2.7.4 2.9.3, 2.7.4

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.