CVE-2026-5766

Django w wersjach przed 1.8.16, 1.9.11 i 1.10.3, gdy ustawienie DEBUG jest włączone, umożliwia zdalnym atakującym przeprowadzenie ataków DNS rebinding z powodu braku walidacji nagłówka HTTP Host względem ustawienia ALLOWED_HOSTS.

Kod parsowania ciasteczek w Django przed wersją 1.8.15 oraz 1.9.x przed wersją 1.9.10, używany na stronie z Google Analytics, pozwala zdalnym atakującym na obejście zamierzonego mechanizmu ochrony CSRF poprzez ustawienie dowolnych ciasteczek.

Funkcja utils.http.is_safe_url w Django przed wersją 1.8.10 oraz 1.9.x przed wersją 1.9.3 umożliwia zdalnym atakującym przekierowywanie użytkowników na dowolne strony internetowe. Może to prowadzić do ataków phishingowych lub potencjalnie do ataków typu cross-site scripting (XSS) za pomocą URL zawierającego podstawową autoryzację.

Wersje Django przed 1.4.21, 1.5.x do 1.6.x, 1.7.x przed 1.7.9 oraz 1.8.x przed 1.8.3 są podatne na atak typu denial of service. Atakujący mogą wykorzystać unikalne klucze sesji do zapełnienia pamięci przechowującej sesje.

W wersjach Django przed 1.4.11, 1.5.x przed 1.5.6, 1.6.x przed 1.6.3 oraz 1.7.x przed 1.7 beta 2 klasy pól modelu FilePathField, GenericIPAddressField i IPAddressField nie wykonują prawidłowej konwersji typów. To może umożliwić zdalnym atakującym wywołanie nieokreślonego wpływu związane z 'typowaniem MySQL'.

W wersjach 6.0 przed 6.0.5 oraz 5.2 przed 5.2.14 zidentyfikowano problem związany z nagłówkami odpowiedzi, które nie różnią się w przypadku ciasteczek, jeśli sesja nie została zmodyfikowana, a `SESSION_SAVE_EVERY_REQUEST` jest ustawione na `True`. Zdalny atakujący może przejąć sesję użytkownika po odwiedzeniu przez niego publicznej strony z pamięci podręcznej.

W Django 6.0 przed 6.0.2, 5.2 przed 5.2.11 oraz 4.2 przed 4.2.28 odkryto podatność na iniekcję SQL w operacjach rasterowych na polu RasterField (dostępnym tylko z PostGIS). Atakujący zdalnie może wstrzyknąć kod SQL poprzez parametr indeksu pasma (band index).

Django w wersjach 1.8.x przed 1.8.16, 1.9.x przed 1.9.11 oraz 1.10.x przed 1.10.3 używa twardo zakodowanego hasła dla tymczasowego użytkownika bazy danych, co ułatwia zdalnym atakującym uzyskanie dostępu do serwera bazy danych.

W Django 5.2 przed 5.2.17 i 6.0 przed 6.0.8 odkryto problem: funkcja django.contrib.admin.utils.display_for_field() renderuje wartości URLField jako klikalne linki w panelu administracyjnym bez walidacji URL. Wartość zapisana z niebezpiecznym schematem jest wyświetlana jako link na stronach changelist i tylko do odczytu, co umożliwia atak XSS na pracowników, którzy klikną link. Eksploatacja wymaga, aby niebezpieczna wartość była już zapisana w bazie danych. Walidacja URLField przez ModelForm lub panel administracyjny odrzuca niebezpieczne schematy, więc dotyczy to aplikacji, które zapisują dane URLField bez uruchamiania walidacji modelu, na przykład przez bezpośrednie zapisy queryset, deserializację lub masowy import niezaufanych danych.

W Django 5.2 przed 5.2.17 i 6.0 przed 6.0.8 wykryto problem w GeoDjango, gdzie parsowanie głęboko zagnieżdżonych obiektów GEOMETRYCOLLECTION (w formacie WKT, WKB lub hex-WKB) może prowadzić do nieograniczonej rekurencji i błędu segmentacji w bibliotece GEOS, co może powodować odmowę usługi. Dotyczy to również wyszukiwań pól przestrzennych i pola formularza GeometryField.