CVE-2021-33203

Django versiones anteriores a 2.2.24, versiones 3.x anteriores a 3.1.12 y versiones 3.2.x anteriores a 3.2.4, presenta un potencial salto de directorio por medio de django.contrib.admindocs. Los miembros del personal podrían usar la visualización TemplateDetailView para comprobar la existencia de archivos arbitrarios. Adicionalmente, si (y sólo si) las plantillas admindocs por defecto han sido personalizadas por los desarrolladores de aplicaciones para mostrar también el contenido de los archivos, entonces no sólo se habría expuesto la existencia sino también el contenido de los archivos. En otras palabras, se presenta un salto de directorio fuera de los directorios root de las plantillas

A flaw was found in django. Staff members could use the :mod:`~django.contrib.admindocs` ``TemplateDetailView`` view to check the existence of arbitrary files. Additionally, if (and only if) the default admindocs templates have been customized by the developers to also expose the file contents, then not only the existence but also the file contents would have been exposed. The highest threat from this vulnerability is to data confidentiality.