CVE-2026-15920
Açıklama
Django 5.2'nin 5.2.17 öncesi ve 6.0'ın 6.0.8 öncesi sürümlerinde bir sorun keşfedildi. `django.contrib.admin.utils.display_for_field()`, `URLField` değerlerini URL doğrulaması yapmadan yönetici panelinde tıklanabilir bağlantılar olarak işlemektedir. Güvensiz bir şema ile saklanan bir değer, değişiklik listesi ve salt okunur yönetici sayfalarında bir bağlantı olarak görüntülenir; bu durum, bağlantıya tıklayan personel kullanıcılarına karşı siteler arası betik çalıştırma (XSS) saldırısına olanak tanır. İstismarın gerçekleşmesi için güvensiz değerin halihazırda veritabanında saklanmış olması gerekir. Bir `ModelForm` veya yönetici paneli üzerinden yapılan `URLField` doğrulaması güvensiz şemaları reddeder, dolayısıyla bu durum model doğrulamasını çalıştırmadan `URLField` verilerini kalıcı hale getiren uygulamaları etkiler; örneğin doğrudan queryset yazımları, serileştirmeden çıkarma (deserialization) veya güvenilmeyen girdilerin toplu içe aktarımı yoluyla. Django, bu sorunu bildirdiği için Egor Saltykov'a teşekkür eder.
Nasıl düzeltilir
- djangoproject django5.2.17, 6.0.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| djangoproject django | 5.2 ≤ v < 5.2.17, 6.0 ≤ v < 6.0.8 | 5.2.17, 6.0.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.