CVE-2026-77050

W Django 6.1 przed 6.1.2, 6.0 przed 6.0.9 i 5.2 przed 5.2.18, funkcja django.forms.models.BaseModelFormSet.save_existing_objects() używa obecności klucza głównego na instancji formularza jako dowodu przynależności do queryset. Obiekt spoza queryset może zostać usunięty przez uwierzytelnionego użytkownika bez uprawnień do tego obiektu, poprzez sfałszowane dane formularza. Modele z domyślnym AutoField nie są dotknięte.

W Django 6.1 przed 6.1.2, 6.0 przed 6.0.9 i 5.2 przed 5.2.18, niekompletna poprawka dla CVE-2026-15307 w przestrzennych zapytaniach (spatial lookups) pozwala atakującemu, który może dostarczyć wartości bytes, na spowodowanie, że proces Django wykona żądania sieciowe poprzez spreparowany dokument VRT odwołujący się do zewnętrznego źródła rastrowego.

W Django 6.1 przed 6.1.2, 6.0 przed 6.0.9 i 5.2 przed 5.2.18, funkcja django.utils.http.parse_header_parameters() jest podatna na atak DoS z powodu kwadratowej złożoności czasowej podczas parsowania wartości z wieloma separatorami w cytowanym parametrze. Nieuwierzytelnione żądanie może dotrzeć do tego parsowania przez nagłówki takie jak Accept lub Content-Type.

Django w wersjach przed 1.8.16, 1.9.11 i 1.10.3, gdy ustawienie DEBUG jest włączone, umożliwia zdalnym atakującym przeprowadzenie ataków DNS rebinding z powodu braku walidacji nagłówka HTTP Host względem ustawienia ALLOWED_HOSTS.

Kod parsowania ciasteczek w Django przed wersją 1.8.15 oraz 1.9.x przed wersją 1.9.10, używany na stronie z Google Analytics, pozwala zdalnym atakującym na obejście zamierzonego mechanizmu ochrony CSRF poprzez ustawienie dowolnych ciasteczek.

Funkcja utils.http.is_safe_url w Django przed wersją 1.8.10 oraz 1.9.x przed wersją 1.9.3 umożliwia zdalnym atakującym przekierowywanie użytkowników na dowolne strony internetowe. Może to prowadzić do ataków phishingowych lub potencjalnie do ataków typu cross-site scripting (XSS) za pomocą URL zawierającego podstawową autoryzację.

Wersje Django przed 1.4.21, 1.5.x do 1.6.x, 1.7.x przed 1.7.9 oraz 1.8.x przed 1.8.3 są podatne na atak typu denial of service. Atakujący mogą wykorzystać unikalne klucze sesji do zapełnienia pamięci przechowującej sesje.

W wersjach Django przed 1.4.11, 1.5.x przed 1.5.6, 1.6.x przed 1.6.3 oraz 1.7.x przed 1.7 beta 2 klasy pól modelu FilePathField, GenericIPAddressField i IPAddressField nie wykonują prawidłowej konwersji typów. To może umożliwić zdalnym atakującym wywołanie nieokreślonego wpływu związane z 'typowaniem MySQL'.

W wersjach 6.0 przed 6.0.5 oraz 5.2 przed 5.2.14 odkryto problem związany z żądaniami ASGI, które mogą omijać limit `FILE_UPLOAD_MAX_MEMORY_SIZE` w przypadku brakującego lub niedostatecznego nagłówka `Content-Length`. Może to prowadzić do załadowania dużych plików do pamięci, co skutkuje degradacją usługi.

W wersjach 6.0 przed 6.0.5 oraz 5.2 przed 5.2.14 zidentyfikowano problem związany z nagłówkami odpowiedzi, które nie różnią się w przypadku ciasteczek, jeśli sesja nie została zmodyfikowana, a `SESSION_SAVE_EVERY_REQUEST` jest ustawione na `True`. Zdalny atakujący może przejąć sesję użytkownika po odwiedzeniu przez niego publicznej strony z pamięci podręcznej.