Jacob Walls

An issue was discovered in Django 6.1 before 6.1.3 and 6.0 before 6.0.10. The `django.contrib.admin.utils.display for field()` function did not obfuscate the password field of user models other than `AUTH USER MODEL`, or of an `AUTH USER MODEL` inheriting its password field from a concrete parent model through multi-table inheritance, which allows authenticated staff users with only the view permission on such a model to obtain full password hashes via the read-only change form. Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected. Django would like to thank Aaron chen for reporting this issue.

لا تقوم `django.contrib.gis.gdal.SpatialReference` وطرق `transform()` المرتبطة بها ومحددات `srs`/`srid` بتقييد وصول GDAL إلى الملفات والشبكة عند تحليل إدخال السلسلة النصية. يسمح هذا للمهاجمين بإرسال طلبات من جانب الخادم أو قراءة ملفات محلية عبر سلاسل مرجعية مكانية مصممة خصيصاً.

يعاني `django.http.multipartparser.MultiPartParser` من استهلاك مفرط للذاكرة. يحدث هذا عند معالجة تحميلات الملفات متعددة الأجزاء (multipart) التي تستخدم `Content-Transfer-Encoding` بتنسيق base64، حيث يمكن تخزين البيانات بالكامل في الذاكرة قبل تمريرها إلى معالجات التحميل.

تقوم الدالة `django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize()`، المستخدمة بواسطة `django.contrib.gis.forms.GeometryField` ، بعدم تنقية القيم المقدمة غير الصالحة قبل تسجيلها في السجلات. يسمح هذا للمهاجمين عن بُعد بحقن أو تزوير إدخالات السجل عبر قيمة هندسية مصممة خصيصاً.

تفشل الفئة `django.contrib.gis.gdal.OGRGeometry` في تقييد تعريفات أنظمة مرجع الإحداثيات الخارجية في مدخلات GeoJSON. يسمح هذا للمهاجمين عن بُعد بإجراء طلبات من جانب الخادم إلى وجهات يختارها المهاجم عبر أعضاء `crs` مصممة خصيصاً.

توجد مشكلة حيث يقوم كل من `django.middleware.cache.UpdateCacheMiddleware` والمزخرف `django.views.decorators.cache.cache page()` بإنشاء مفاتيح تخزين مؤقت متطابقة للطلبات التي تغفل ترويسة مدرجة في ترويسة `Vary` الخاصة بالاستجابة والطلبات التي تتضمن تلك الترويسة بقيمة فارغة. قد يسمح هذا السلوك للمهاجمين عن بُعد بالوصول إلى بيانات خاصة مخزنة مؤقتًا لطلب آخر.

A denial-of-service issue exists in the `django.utils.http.parse header parameters()` function. The problem arises from quadratic time complexity when parsing values containing numerous separators within a quoted parameter. An unauthenticated attacker can trigger this behavior by sending specially crafted headers, such as `Accept` or `Content-Type`, which are processed during content negotiation by `HttpRequest.accepts()`. The existing per-call length limit fails to restrict the combined size of repeated headers.

An issue exists in the `save existing objects()` function within `django.forms.models.BaseModelFormSet`. The function incorrectly uses the presence of a primary key on a submitted form instance to verify if the instance belongs to the formset's limiting queryset. When a model's primary key is a field accepted by the form—such as a `OneToOneField`, a parent link in an inline formset, or a natural/UUID primary key—an authenticated user can populate the primary key via submitted data. This allows a user to delete rows outside the limiting queryset by forging management-form data, even without permissions for the targeted object. Models using the default AutoField primary key are not affected.

تقوم عمليات البحث المكاني في GeoDjango بتحليل القيمة الموجودة على الجانب الأيمن على أنها صورة نقطية (raster) عن طريق تمريرها إلى مُنشئ `django.contrib.gis.gdal.GDALRaster`. تسمح هذه العملية بوصول المدخلات غير الموثوق بها، مثل مرشحات الحقول المكانية التي يتم إرسالها عبر سلسلة استعلام قائمة التغييرات في لوحة إدارة Django من قبل المستخدمين من الموظفين الذين يتمتعون بأذونات العرض، إلى المُنشئ. في حالة توفير `dict` أو `str` يحتوي على تمثيل JSON الخاص به، يتم فتحه في وضع الكتابة، مما يمكّن المهاجم من كتابة ملف باسم ومحتوى مختارين من خلال برنامج تشغيل GDAL مدعوم بالملفات. يتم التعامل مع قيم `str` الأخرى كمصادر بيانات، والتي يمكن أن تؤدي إلى إرسال طلبات شبكة صادرة عبر معالج نظام الملفات الافتراضي لـ GDAL. قد تؤدي كتابة الملفات إلى مواقع يتم استيرادها لاحقًا بواسطة التطبيق إلى تنفيذ تعليمات برمجية عن بُعد.

يتعرض عنصر `django.contrib.gis.geos.GEOSGeometry` في GeoDjango لهجوم رفض الخدمة عند تحليل كائنات `GEOMETRYCOLLECTION` المتداخلة بعمق والمقدمة كنص معروف (WKT) أو ثنائي معروف (WKB) أو WKB مشفر سداسي عشري. يحدث هذا لأن العملية تؤدي إلى تكرار غير محدود، مما يؤدي إلى خطأ في التجزئة في مكتبة GEOS الأساسية. تؤثر هذه المشكلة أيضًا على عمليات البحث في الحقول المكانية وحقل النموذج `django.contrib.gis.forms.GeometryField`.

توجد مشكلة تتمثل في أن `DomainNameValidator` لا يمنع وجود أحرف نهاية السطر في أسماء النطاقات. وفي حين أن `CharField` يزيل أحرف نهاية السطر عند استخدامه عبر حقل نموذج، فإن تطبيقات أخرى قد تسمح بوجودها. إذا قام أحد التطبيقات بتضمين هذه القيم التي تحتوي على أحرف الأسطر الجديدة في استجابة HTTP، فقد يحدث حقن الرؤوس. حقن الرؤوس هو تقنية تُستخدم لإدراج بيانات ضارة في رؤوس HTTP، مما قد يسمح للمهاجمين بالتلاعب بالاستجابة المرسلة إلى العميل.

يقوم كل من `UpdateCacheMiddleware` والديكور `cache page()` بتخزين استجابات ذاكرة التخزين المؤقت التي تختلف بناءً على ملفات تعريف الارتباط عندما يحتوي الطلب الوارد على ملفات تعريف ارتباط غير ذات صلة. يتيح هذا السلوك للمهاجمين عن بُعد الوصول إلى البيانات الخاصة المخزنة في ذاكرة التخزين المؤقتة المشتركة.

توجد مشكلة تتمثل في أن `django.contrib.gis.gdal.GDALRaster` يقرأ أكثر من اللازم من المخزن المؤقت في الذاكرة عند إنشائه من كائن بايت. وقد يؤدي ذلك إلى الكشف عن الذاكرة المجاورة أو تسبب تدهور الخدمة من خلال خطأ تجزئة محتمل — وهو نوع محدد من الأخطاء التي تحدث عندما يحاول برنامج الوصول إلى موقع في الذاكرة لا يُسمح له بالوصول إليه — عند الوصول إلى الخاصية `vsi buffer`.

توجد مشكلة في `django.middleware.cache.UpdateCacheMiddleware` حيث لا تتم إضافة رأس `Authorization` إلى رأس الاستجابة `Vary` للطلبات التي تتضمن هذا الرأس ولكنها تفتقر إلى `Cache-Control: public`. وهذا يسمح للمهاجمين عن بُعد بالوصول إلى استجابات مخزنة مؤقتًا خاصة عن طريق إرسال طلبات غير مصدقة إلى نفس عنوان URL.

يمكن لطلبات ASGI التي تفتقد إلى رأس `Content-Length` أو تحتوي على قيمة أقل من المطلوب تجاوز الحد الأقصى المحدد بـ `FILE UPLOAD MAX MEMORY SIZE`. وهذا يسمح بتحميل ملفات كبيرة الحجم إلى الذاكرة، مما قد يؤدي إلى تدهور الخدمة واحتمال حدوث هجوم رفض الخدمة. ASGI (واجهة بوابة الخادم غير المتزامن) هو معيار لخوادم الويب غير المتزامنة التي تعمل بلغة Python للتواصل مع تطبيقات الويب.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Django من 6.0 إلى 6.0.3، ومن 5.2 إلى 5.2.12، ومن 4.2 إلى 4.2.29 الوصف يوجد عيب في عملية التحقق من صلاحية الأذونات لمثيلات النماذج المضمنة داخل `GenericInlineModelAdmin` عند معالجة بيانات `POST` مزورة. وقد يؤدي ذلك إلى السماح بالوصول غير المصرح به إلى البيانات أو تعديلها. قد تتأثر أيضًا الإصدارات السابقة غير المدعومة من Django (مثل 5.0.x و4.1.x و3.2.x). التوصيات التحديث إلى إصدار Django 6.0.4 أو أحدث. التحديث إلى إصدار Django 5.2.13 أو أحدث. التحديث إلى إصدار Django 4.2.30 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Django من 4.2 إلى 4.2.29، ومن 5.2 إلى 5.2.12، ومن 6.0 إلى 6.0.3 الوصف يكون مكون `MultiPartParser` عرضة لانخفاض الأداء عند معالجة عمليات التحميل متعددة الأجزاء التي تحتوي على `Content-Transfer-Encoding: base64` مع وجود مسافات بيضاء زائدة. يمكن للمهاجمين عن بُعد استغلال هذه الثغرة للتأثير سلبًا على أداء النظام. التوصيات التحديث إلى إصدار Django 6.0.4 أو أحدث. التحديث إلى إصدار Django 5.2.13 أو أحدث. التحديث إلى إصدار Django 4.2.30 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Django من 4.2 إلى 4.2.29، ومن 5.2 إلى 5.2.12، ومن 6.0 إلى 6.0.3 الوصف قد تتجاوز طلبات ASGI التي تفتقر إلى رأس `Content-Length` أو لا تبلغ عنه بالكامل الحد الأقصى `DATA UPLOAD MAX MEMORY SIZE` عند معالجة `HttpRequest.body`، مما قد يسمح للمهاجمين بتحميل نص طلب غير محدود إلى الذاكرة. قد تتأثر أيضًا إصدارات Django الأقدم غير المدعومة (مثل 5.0.x و4.1.x و3.2.x). التوصيات التحديث إلى إصدار Django 4.2.30 أو أحدث. التحديث إلى إصدار Django 5.2.13 أو أحدث. التحديث إلى إصدار Django 6.0.4 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Django من 6.0 إلى 6.0.3، ومن 5.2 إلى 5.2.12، ومن 4.2 إلى 4.2.29 الوصف يسمح مكون `ASGIRequest` لمهاجم عن بُعد بتزوير الرؤوس بسبب التعيين الغامض لمتغيرات الرؤوس (التي تحتوي على واصلات أو خطوط سفلية) إلى إصدار واحد يحتوي على خطوط سفلية. التوصيات التحديث إلى إصدار Django 6.0.4 أو أحدث. التحديث إلى إصدار Django 5.2.13 أو أحدث. التحديث إلى إصدار Django 4.2.30 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Django من 6.0 إلى 6.0.3 إصدارات Django من 5.2 إلى 5.2.12 إصدارات Django من 4.2 إلى 4.2.29 إصدارات Django 5.0.x والإصدارات الأقدم إصدارات Django 4.1.x والإصدارات الأقدم إصدارات Django 3.2.x والإصدارات الأقدم الوصف تم اكتشاف مشكلة حيث كانت نماذج قائمة التغييرات الخاصة بالمسؤول (admin changelist) التي تستخدم `ModelAdmin.list editable` تسمح بشكل غير صحيح بإنشاء مثيلات جديدة عبر بيانات `POST` مزورة. في السابق، لم يتم تقييم إصدارات Django السابقة غير المدعومة (مثل 5.0.x و4.1.x و3.2.x) وقد تكون متأثرة أيضًا. التوصيات التحديث إلى إصدار Django 6.0.4 أو أحدث. التحديث إلى إصدار Django 5.2.13 أو أحدث. التحديث إلى إصدار Django 4.2.30 أو أحدث.