CVE-2026-15307
Açıklama
Django 5.2'nin 5.2.17 öncesi ve 6.0'ın 6.0.8 öncesi sürümlerinde bir sorun keşfedildi. GeoDjango mekansal aramaları, sağ taraf değerini `django.contrib.gis.gdal.GDALRaster` yapılandırıcısına ileterek iyimser bir şekilde raster olarak ayrıştırır. Bir `GeometryField` veya `RasterField` üzerindeki mekansal aramada kullanılan herhangi bir değer, örneğin görüntüleme iznine sahip bir personel kullanıcısı tarafından Django admin değiştirme listesi sorgu dizesi aracılığıyla gönderilen güvenilmeyen bir girdi dahil olmak üzere bu yapılandırıcıya ulaşır. Bir `dict` veya bunun JSON temsilini içeren bir `str`, yapılandırıcının varsayılan `write=False` ayarına bakılmaksızın yazma modunda açılır; bu durum, dosya destekli bir GDAL sürücüsü aracılığıyla saldırgan tarafından seçilen isim ve içerikte bir dosyanın yazılmasına olanak tanır. Diğer tüm `str` değerleri bir veri kaynağı olarak değerlendirilir ve bir GDAL sanal dosya sistemi işleyicisi üzerinden dışa doğru ağ isteği yapılmasına izin verir. Uygulama tarafından daha sonra içe aktarılan bir konuma dosya yazılması uzaktan kod çalıştırma ile sonuçlanabilir. Daha önce, desteklenmeyen Django serileri (5.1.x, 5.0.x ve 4.2.x gibi) değerlendirilmemiştir ve bunlar da etkilenmiş olabilir. Django; bu sorunu bildirdikleri için Bence Nagy, localhost-detect ve kimchunbok_'a teşekkür eder.
Nasıl düzeltilir
- djangoproject django5.2.17, 6.0.8 ya da sonraki bir sürüm
- django5.2.17, 6.0.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| djangoproject django | v < 5.2.17, 6.0 ≤ v < 6.0.8 | 5.2.17, 6.0.8 |
| djangoPyPI | v < 5.2.17, 6.0a1 ≤ v < 6.0.8 | 5.2.17, 6.0.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.