CVE-2026-15307
Təsvir
Django 5.2-nin 5.2.17 versiyasından əvvəlki və 6.0-ın 6.0.8 versiyasından əvvəlki versiyalarında bir problem aşkar edilmişdir. GeoDjango məkan axtarışları sağ tərəfdəki dəyəri `django.contrib.gis.gdal.GDALRaster` konstruktoruna ötürməklə onu optimist şəkildə raster kimi təhlil edir. `GeometryField` və ya `RasterField`-ə qarşı məkan axtarışında istifadə olunan hər hansı dəyər, baxış icazəsi olan personal istifadəçisi tərəfindən Django admin changelist sorğu sətri vasitəsilə göndərilmiş məkan sahəsi filtri də daxil olmaqla, etibarsız girişlər də daxil olmaqla bu konstruktora çatır. Konstruktorun standart `write=False` parametrinə baxmayaraq, `dict` və ya onun JSON təmsili olan `str` yazı rejimində açılır ki, bu da fayl əsaslı GDAL drayveri vasitəsilə hücumçunun seçdiyi ad və məzmunlu faylın yazılmasına imkan verir. Hər hansı digər `str` məlumat mənbəyi kimi qəbul edilir və bu, GDAL virtual fayl sistemi idarəedicisi vasitəsilə kənar şəbəkə sorğusunun göndərilməsinə yol açır. Tətbiq tərəfindən sonradan idxal edilən yerə faylın yazılması uzaqdan kodun icrasına səbəb ola bilər. Əvvəllər, dəstəklənməyən Django seriyaları (məsələn, 5.1.x, 5.0.x və 4.2.x) qiymətləndirilməmişdir və onlar da təsir altında ola bilər. Django bu problemi bildirdikləri üçün Bence Nagy, localhost-detect və kimchunbok_-a təşəkkür edir.
Necə düzəltmək olar
- djangoproject django5.2.17, 6.0.8 və ya daha yeni versiya
- django5.2.17, 6.0.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| djangoproject django | v < 5.2.17, 6.0 ≤ v < 6.0.8 | 5.2.17, 6.0.8 |
| djangoPyPI | v < 5.2.17, 6.0a1 ≤ v < 6.0.8 | 5.2.17, 6.0.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.