CVE-2026-87975

Django 6.1-in 6.1.2 versiyasından əvvəlki, 6.0-ın 6.0.9 versiyasından əvvəlki və 5.2-nin 5.2.18 versiyasından əvvəlki versiyalarında bir problem aşkar edilmişdir. `django.forms.models.BaseModelFormSet.save_existing_objects()` funksiyası təqdim edilmiş formanın instansiyasında primary key-in mövcudluğunu həmin instansiyanın formset-in məhdudlaşdırıcı queryset-inə aid olduğunun sübutu kimi istifadə edirdi. Həmin queryset-dən kənarda olan obyekt yeni yaradılmış instansiya ilə təmsil olunur və modelin primary key-i form tərəfindən qəbul edilən sahə olduqda (məsələn, `OneToOneField`, inline formset-in modelinin primary key-i kimi istifadə olunan valideyn linki və ya formun sahələrinə daxil edilmiş təbii və ya UUID primary key), primary key hələ də təqdim edilmiş məlumatlardan doldurula bilər. Bu, belə bir formset-i təqdim etmək hüququna malik autentifikasiya olunmuş istifadəçiyə, saxtalaşdırılmış management-form məlumatları vasitəsilə queryset-dən kənarda olan obyekti silinmə üçün qeyd edərək, hədəf obyekt üzərində heç bir icazəsi olmadan həmin sətirləri silməyə imkan verir. Defolt AutoField primary key istifadə edən modellər bundan təsirlənmir. Əvvəlki, dəstəklənməyən Django seriyaları (məsələn, 5.1.x, 5.0.x və 4.2.x) qiymətləndirilməmişdir və onlar da təsir altında ola bilər. Django bu problemi bildirdiyi üçün Seonggwon Yoon-a təşəkkür edir.