Jake Howard

An issue was discovered in Django 6.1 before 6.1.3 and 6.0 before 6.0.10. The `django.contrib.admin.utils.display for field()` function did not obfuscate the password field of user models other than `AUTH USER MODEL`, or of an `AUTH USER MODEL` inheriting its password field from a concrete parent model through multi-table inheritance, which allows authenticated staff users with only the view permission on such a model to obtain full password hashes via the read-only change form. Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected. Django would like to thank Aaron chen for reporting this issue.

لا تقوم `django.contrib.gis.gdal.SpatialReference` وطرق `transform()` المرتبطة بها ومحددات `srs`/`srid` بتقييد وصول GDAL إلى الملفات والشبكة عند تحليل إدخال السلسلة النصية. يسمح هذا للمهاجمين بإرسال طلبات من جانب الخادم أو قراءة ملفات محلية عبر سلاسل مرجعية مكانية مصممة خصيصاً.

يعاني `django.http.multipartparser.MultiPartParser` من استهلاك مفرط للذاكرة. يحدث هذا عند معالجة تحميلات الملفات متعددة الأجزاء (multipart) التي تستخدم `Content-Transfer-Encoding` بتنسيق base64، حيث يمكن تخزين البيانات بالكامل في الذاكرة قبل تمريرها إلى معالجات التحميل.

تقوم الدالة `django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize()`، المستخدمة بواسطة `django.contrib.gis.forms.GeometryField` ، بعدم تنقية القيم المقدمة غير الصالحة قبل تسجيلها في السجلات. يسمح هذا للمهاجمين عن بُعد بحقن أو تزوير إدخالات السجل عبر قيمة هندسية مصممة خصيصاً.

توجد مشكلة حيث يقوم كل من `django.middleware.cache.UpdateCacheMiddleware` والمزخرف `django.views.decorators.cache.cache page()` بإنشاء مفاتيح تخزين مؤقت متطابقة للطلبات التي تغفل ترويسة مدرجة في ترويسة `Vary` الخاصة بالاستجابة والطلبات التي تتضمن تلك الترويسة بقيمة فارغة. قد يسمح هذا السلوك للمهاجمين عن بُعد بالوصول إلى بيانات خاصة مخزنة مؤقتًا لطلب آخر.

A denial-of-service issue exists in the `django.utils.http.parse header parameters()` function. The problem arises from quadratic time complexity when parsing values containing numerous separators within a quoted parameter. An unauthenticated attacker can trigger this behavior by sending specially crafted headers, such as `Accept` or `Content-Type`, which are processed during content negotiation by `HttpRequest.accepts()`. The existing per-call length limit fails to restrict the combined size of repeated headers.

لا تقوم الدالة `django.utils.cache.has vary header()` بإزالة المسافات البيضاء في بداية أو نهاية قيم رأس الاستجابة `Vary` قبل المقارنة. وهذا يسمح للمهاجمين عن بُعد بقراءة الاستجابات المخزنة مؤقتًا عن طريق إرسال طلبات إلى عناوين URL تحتوي على قيم رأس الاستجابة `Vary` المملوءة بمسافات بيضاء.

توجد مشكلة في `django.middleware.cache.UpdateCacheMiddleware` حيث لا تتم مطابقة توجيهات الاستجابة `Cache-Control` دون مراعاة حالة الأحرف. وهذا يسمح للمهاجمين عن بُعد بقراءة الاستجابات التي تم تخزينها مؤقتًا بشكل غير صحيح بسبب استخدام قيم بأحرف كبيرة أو مختلطة في توجيهات `Cache-Control`.

توجد مشكلة في `django.core.mail.backends.smtp.EmailBackend` حيث يفشل النظام في منع إعادة استخدام اتصال تم تهيئته جزئيًا بعد فشل مصافحة `STARTTLS` عندما يتم تعيين المتغير `fail silently` على `True`. وهذا يسمح للمهاجمين على مسار الشبكة باعتراض وقراءة محتوى البريد الإلكتروني بنص عادي.

عندما يتم تعيين `SESSION SAVE EVERY REQUEST` على `True`، لا تتغير رؤوس الاستجابة بناءً على ملفات تعريف الارتباط إذا بقيت الجلسة دون تغيير. وهذا يسمح لمهاجم عن بُعد بسرقة جلسة المستخدم بعد أن يزور الضحية صفحة عامة مخزنة في ذاكرة التخزين المؤقت. هذه مشكلة تثبيت الجلسة حيث يمكن اختراق معرّف الجلسة عبر محتوى عام مخزّن في ذاكرة التخزين المؤقت.

المكون `FilteredRelation` معرض لخطر حقن SQL في أسماء مستعارة للأعمدة من خلال استخدام أحرف التحكم. يحدث هذا عند استخدام قاموس تم التلاعب به مع توسيع القاموس كـ `**kwargs` التي يتم تمريرها إلى طرق `annotate()` و`aggregate()` و`extra()` و`values()` و`values list()` و`alias()` الخاصة بـ `QuerySet`.

تتعرض الدالة `django.contrib.auth.handlers.modwsgi.check password()`، المستخدمة للمصادقة عبر `mod wsgi`، لهجوم استغلال الفاصل الزمني. وهذا يتيح للمهاجمين عن بُعد إمكانية إجراء عملية تعداد للمستخدمين. كما قد تتأثر الإصدارات السابقة وغير المدعومة من Django، بما في ذلك الإصدارات 5.0.x و4.1.x و3.2.x.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Django من 6.0 إلى 6.0.1 إصدارات Django من 5.2 إلى 5.2.10 إصدارات Django من 4.2 إلى 4.2.27 إصدارات Django 5.0.x والإصدارات الأقدم إصدارات Django 4.1.x والإصدارات الأقدم إصدارات Django 3.2.x والإصدارات الأقدم الوصف المكون `ASGIRequest` معرض لخطر حدوث حالة رفض الخدمة. يمكن لمهاجم عن بُعد استغلال هذه الثغرة عن طريق إرسال طلب مصمم خصيصًا يحتوي على رؤوس مكررة. التوصيات قم بتحديث Django إلى الإصدار 6.0.2 أو أحدث. قم بتحديث Django إلى الإصدار 5.2.11 أو أحدث. قم بتحديث Django إلى الإصدار 4.2.28 أو أحدث.

تحتوي فئة `html.parser.HTMLParser` على ثغرة تؤدي معالجة مدخلات معينة مصممة خصيصًا لتكون مشوهة إلى تعقيد حسابي من الدرجة الثانية في أسوأ الحالات. ويحدث ذلك بسبب استخدام تعبير عادي ذي تعقيد حسابي غير فعال، مما قد يؤدي إلى استنفاد موارد وحدة المعالجة المركزية (CPU) وتضخيم هجمات رفض الخدمة.

A memory exhaustion bug exists in Wagtail's handling of uploaded images and documents. For both images and documents, files are loaded into memory during upload for additional processing. A user with access to upload images or documents through the Wagtail admin interface could upload a file so large that it results in a crash or denial of service. The vulnerability is not exploitable by an ordinary site visitor without access to the Wagtail admin. It can only be exploited by admin users with permission to upload images or documents. Image uploads are restricted to 10MB by default, however this validation only happens on the frontend and on the backend after the vulnerable code.