DjangoBlog <=2.1.0.0 Security Misconfiguration and Hardcoded Credentials (CVE-2026-790289)

脆弱性概要 脆弱性 ID: CVE-2026-790289 脆弱性タイトル: liangliangyy DjangoBlog <= 2.1.0.0 のセキュリティ設定ミスおよびハードコードされた資格情報 脆弱性タイプ: セキュリティ設定ミス（Security Misconfiguration） 重大度: 高危険度（ハードコードされた資格情報） 報告ユーザー: Demo (UID 82596) 報告日時: 2026/03/26 05:26 PM 審査日時: 2026/04/19 06:06 PM ステータス: 審査済み（Moderated） VulDB エントリ: [liangliangyy DjangoBlog up to 2.1.0.0 Setting django/blog/settings.py USER/PASSWORD hard-coded credentials] 脆弱性説明 DjangoBlog は、x.x.x バージョン以降でデフォルトの設定として Django の DEBUG モードを有効にし、バックアップ値としてハードコードされたデータベース資格情報（root/root）を使用しています。 への展開時に環境変数が設定されていない場合、詳細なエラーページ（スタックトレース、設定値、ローカル変数など）が公開され、容易に推測可能なデータベース資格情報が使用されることになります。 影響範囲 影響対象ソフトウェア: liangliangyy DjangoBlog 影響対象バージョン: <= 2.1.0.0 影響コンポーネント: - - データベース接続設定 リスクポイント: - DEBUG モードがデフォルトで有効 - ハードコードされたデータベースユーザー名/パスワード（root/root） - エラー情報による機微データの漏洩 修正方針 1. DEBUG モードを無効化: 本番環境では必ず を設定してください 2. ハードコードされた資格情報の削除: データベース資格情報の管理には環境変数または設定ファイルを使用してください 3. エラー処理の強化: 本番環境で詳細なエラー情報を公開しないようにしてください 4. 定期的なセキュリティ監査: コード内にもう一つのハードコードされた機微情報がないか確認してください 出典リンク GitHub リポジトリ: https://github.com/3em0/cve_repo/blob/main/DjangoBlog/Vuln-12-DEBUG-Enabled-Hardcoded-DB-Creds.md 備考 この脆弱性はコミュニティユーザーによって VulDB に報告されました VulDB はコンテンツの真実性を保証せず、審査および検証のみを行います 元の情報にはマルウェアまたは悪意のあるデータが含まれている可能性がありますので、ご使用の際は慎重に対応してください

目標達成 すべての支援者に感謝 — 100%達成しました！

DjangoBlog <=2.1.0.0 Security Misconfiguration and Hardcoded Credentials (CVE-2026-790289)

目標達成すべての支援者に感謝 — 100%達成しました！