Natalia Bidart

تقوم الدالة `django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize()`، المستخدمة بواسطة `django.contrib.gis.forms.GeometryField` ، بعدم تنقية القيم المقدمة غير الصالحة قبل تسجيلها في السجلات. يسمح هذا للمهاجمين عن بُعد بحقن أو تزوير إدخالات السجل عبر قيمة هندسية مصممة خصيصاً.

An issue was discovered in Django 6.1 before 6.1.3 and 6.0 before 6.0.10. The `django.contrib.admin.utils.display for field()` function did not obfuscate the password field of user models other than `AUTH USER MODEL`, or of an `AUTH USER MODEL` inheriting its password field from a concrete parent model through multi-table inheritance, which allows authenticated staff users with only the view permission on such a model to obtain full password hashes via the read-only change form. Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected. Django would like to thank Aaron chen for reporting this issue.

يعاني `django.http.multipartparser.MultiPartParser` من استهلاك مفرط للذاكرة. يحدث هذا عند معالجة تحميلات الملفات متعددة الأجزاء (multipart) التي تستخدم `Content-Transfer-Encoding` بتنسيق base64، حيث يمكن تخزين البيانات بالكامل في الذاكرة قبل تمريرها إلى معالجات التحميل.

A denial-of-service issue exists in the `django.utils.http.parse header parameters()` function. The problem arises from quadratic time complexity when parsing values containing numerous separators within a quoted parameter. An unauthenticated attacker can trigger this behavior by sending specially crafted headers, such as `Accept` or `Content-Type`, which are processed during content negotiation by `HttpRequest.accepts()`. The existing per-call length limit fails to restrict the combined size of repeated headers.

An issue exists in the `save existing objects()` function within `django.forms.models.BaseModelFormSet`. The function incorrectly uses the presence of a primary key on a submitted form instance to verify if the instance belongs to the formset's limiting queryset. When a model's primary key is a field accepted by the form—such as a `OneToOneField`, a parent link in an inline formset, or a natural/UUID primary key—an authenticated user can populate the primary key via submitted data. This allows a user to delete rows outside the limiting queryset by forging management-form data, even without permissions for the targeted object. Models using the default AutoField primary key are not affected.

توجد مشكلة حيث تقوم دالة `django.contrib.admin.utils.display for field()` بعرض قيم `URLField` كروابط قابلة للنقر في واجهة الإدارة دون إجراء التحقق من الصحة بشكل صحيح. وهذا يتيح تنفيذ هجمات البرمجة النصية عبر المواقع (XSS) المخزنة ضد المستخدمين من الموظفين الذين ينقرون على الرابط، في حالة تخزين قيمة ذات مخطط غير آمن في قاعدة البيانات. ويحدث هذا في التطبيقات التي تحتفظ ببيانات `URLField` دون إجراء التحقق من صحة النموذج، مثل الكتابة المباشرة في مجموعة الاستعلامات (queryset)، أو إزالة التسلسل، أو الاستيراد المجمّع للمدخلات غير الموثوق بها.

تقوم عمليات البحث المكاني في GeoDjango بتحليل القيمة الموجودة على الجانب الأيمن على أنها صورة نقطية (raster) عن طريق تمريرها إلى مُنشئ `django.contrib.gis.gdal.GDALRaster`. تسمح هذه العملية بوصول المدخلات غير الموثوق بها، مثل مرشحات الحقول المكانية التي يتم إرسالها عبر سلسلة استعلام قائمة التغييرات في لوحة إدارة Django من قبل المستخدمين من الموظفين الذين يتمتعون بأذونات العرض، إلى المُنشئ. في حالة توفير `dict` أو `str` يحتوي على تمثيل JSON الخاص به، يتم فتحه في وضع الكتابة، مما يمكّن المهاجم من كتابة ملف باسم ومحتوى مختارين من خلال برنامج تشغيل GDAL مدعوم بالملفات. يتم التعامل مع قيم `str` الأخرى كمصادر بيانات، والتي يمكن أن تؤدي إلى إرسال طلبات شبكة صادرة عبر معالج نظام الملفات الافتراضي لـ GDAL. قد تؤدي كتابة الملفات إلى مواقع يتم استيرادها لاحقًا بواسطة التطبيق إلى تنفيذ تعليمات برمجية عن بُعد.

يتعرض عنصر `django.contrib.gis.geos.GEOSGeometry` في GeoDjango لهجوم رفض الخدمة عند تحليل كائنات `GEOMETRYCOLLECTION` المتداخلة بعمق والمقدمة كنص معروف (WKT) أو ثنائي معروف (WKB) أو WKB مشفر سداسي عشري. يحدث هذا لأن العملية تؤدي إلى تكرار غير محدود، مما يؤدي إلى خطأ في التجزئة في مكتبة GEOS الأساسية. تؤثر هذه المشكلة أيضًا على عمليات البحث في الحقول المكانية وحقل النموذج `django.contrib.gis.forms.GeometryField`.

توجد ثغرة من نوع «رفض الخدمة» (DoS) في الدالة `check for language()` الموجودة ضمن `django.utils.translation`. تحدث المشكلة عندما تتلقى الدالة عددًا كبيرًا من رموز اللغات المختلفة والطويلة جدًّا، والتي يتم تخزينها كمفاتيح في ذاكرة التخزين المؤقتة، مما يؤدي إلى استهلاك مفرط لذاكرة العملية. يتم تمرير هذه الرموز إلى الدالة عبر عرض `set language()` في `django.views.i18n`، والذي لا يتم توجيهه افتراضيًّا. يتم تحديد استهلاك الذاكرة بواسطة الإعداد `DATA UPLOAD MAX MEMORY SIZE` والحد الأقصى الثابت لعدد إدخالات ذاكرة التخزين المؤقت.

توجد مشكلة تتمثل في أن `DomainNameValidator` لا يمنع وجود أحرف نهاية السطر في أسماء النطاقات. وفي حين أن `CharField` يزيل أحرف نهاية السطر عند استخدامه عبر حقل نموذج، فإن تطبيقات أخرى قد تسمح بوجودها. إذا قام أحد التطبيقات بتضمين هذه القيم التي تحتوي على أحرف الأسطر الجديدة في استجابة HTTP، فقد يحدث حقن الرؤوس. حقن الرؤوس هو تقنية تُستخدم لإدراج بيانات ضارة في رؤوس HTTP، مما قد يسمح للمهاجمين بالتلاعب بالاستجابة المرسلة إلى العميل.

يقوم كل من `UpdateCacheMiddleware` والديكور `cache page()` بتخزين استجابات ذاكرة التخزين المؤقت التي تختلف بناءً على ملفات تعريف الارتباط عندما يحتوي الطلب الوارد على ملفات تعريف ارتباط غير ذات صلة. يتيح هذا السلوك للمهاجمين عن بُعد الوصول إلى البيانات الخاصة المخزنة في ذاكرة التخزين المؤقتة المشتركة.

توجد مشكلة في `django.middleware.cache.UpdateCacheMiddleware` حيث لا تتم إضافة رأس `Authorization` إلى رأس الاستجابة `Vary` للطلبات التي تتضمن هذا الرأس ولكنها تفتقر إلى `Cache-Control: public`. وهذا يسمح للمهاجمين عن بُعد بالوصول إلى استجابات مخزنة مؤقتًا خاصة عن طريق إرسال طلبات غير مصدقة إلى نفس عنوان URL.

توجد مشكلة في الدالة `get signed cookie()` الموجودة ضمن `django.http.HttpRequest`. تستخدم هذه الدالة طريقة اشتقاق ”سولت“ غير حقنية عن طريق ربط اسم ملف تعريف الارتباط (cookie) وحجة ”سولت“. وهذا يسمح لمهاجم عن بُعد باستخدام ملف تعريف ارتباط في سياق مختلف عن سياق التوقيع الأصلي من خلال استخدام أزواج `name` و`salt` مختلفة تؤدي إلى نفس السلسلة المُسلسلة.

توجد مشكلة في `django.middleware.cache.UpdateCacheMiddleware` حيث لا تتم مطابقة توجيهات الاستجابة `Cache-Control` دون مراعاة حالة الأحرف. وهذا يسمح للمهاجمين عن بُعد بقراءة الاستجابات التي تم تخزينها مؤقتًا بشكل غير صحيح بسبب استخدام قيم بأحرف كبيرة أو مختلطة في توجيهات `Cache-Control`.

توجد مشكلة في `django.core.mail.backends.smtp.EmailBackend` حيث يفشل النظام في منع إعادة استخدام اتصال تم تهيئته جزئيًا بعد فشل مصافحة `STARTTLS` عندما يتم تعيين المتغير `fail silently` على `True`. وهذا يسمح للمهاجمين على مسار الشبكة باعتراض وقراءة محتوى البريد الإلكتروني بنص عادي.

لا تقوم الدالة `django.utils.cache.has vary header()` بإزالة المسافات البيضاء في بداية أو نهاية قيم رأس الاستجابة `Vary` قبل المقارنة. وهذا يسمح للمهاجمين عن بُعد بقراءة الاستجابات المخزنة مؤقتًا عن طريق إرسال طلبات إلى عناوين URL تحتوي على قيم رأس الاستجابة `Vary` المملوءة بمسافات بيضاء.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Django من 4.2 إلى 4.2.29، ومن 5.2 إلى 5.2.12، ومن 6.0 إلى 6.0.3 الوصف يكون مكون `MultiPartParser` عرضة لانخفاض الأداء عند معالجة عمليات التحميل متعددة الأجزاء التي تحتوي على `Content-Transfer-Encoding: base64` مع وجود مسافات بيضاء زائدة. يمكن للمهاجمين عن بُعد استغلال هذه الثغرة للتأثير سلبًا على أداء النظام. التوصيات التحديث إلى إصدار Django 6.0.4 أو أحدث. التحديث إلى إصدار Django 5.2.13 أو أحدث. التحديث إلى إصدار Django 4.2.30 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Django من 4.2 إلى 4.2.29، ومن 5.2 إلى 5.2.12، ومن 6.0 إلى 6.0.3 الوصف قد تتجاوز طلبات ASGI التي تفتقر إلى رأس `Content-Length` أو لا تبلغ عنه بالكامل الحد الأقصى `DATA UPLOAD MAX MEMORY SIZE` عند معالجة `HttpRequest.body`، مما قد يسمح للمهاجمين بتحميل نص طلب غير محدود إلى الذاكرة. قد تتأثر أيضًا إصدارات Django الأقدم غير المدعومة (مثل 5.0.x و4.1.x و3.2.x). التوصيات التحديث إلى إصدار Django 4.2.30 أو أحدث. التحديث إلى إصدار Django 5.2.13 أو أحدث. التحديث إلى إصدار Django 6.0.4 أو أحدث.

توجد حالة تنافس في الخلفيات الخاصة بنظام الملفات والتخزين المؤقت القائم على الملفات في Django. قد تؤدي هذه الحالة إلى إنشاء كائنات نظام الملفات ذات أذونات غير صحيحة عند معالجة الطلبات المتزامنة في بيئات متعددة الخيوط. وعلى وجه التحديد، قد يؤثر التغيير المؤقت في `umask` الذي تقوم به إحدى الخيوط على الخيوط الأخرى، مما يؤدي إلى أذونات ملفات غير مقصودة. قد تتأثر أيضًا إصدارات Django السابقة وغير المدعومة (مثل 5.0.x و4.1.x و3.2.x).

تستدعي الدالة `URLField.to python()` في Django الدالة `urllib.parse.urlsplit()`، التي تقوم بتطبيع NFKC في نظام Windows. ويكون هذا التطبيع بطيئًا بشكل غير متناسب بالنسبة لبعض أحرف Unicode، مما قد يسمح لمهاجم عن بُعد بالتسبب في رفض الخدمة عن طريق إرسال مدخلات URL كبيرة الحجم تحتوي على هذه الأحرف.