PT-2026-6030
CVE-2026-1207
·
تاريخ النشر
2026-02-03
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 3.1
8.3
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Django السابقة للإصدار 6.0.2
إصدارات Django السابقة للإصدار 5.2.11
إصدارات Django السابقة للإصدار 4.2.28
الوصف
ثغرة في تنفيذ
RasterField في GeoDjango، وتحديدًا عند استخدام خلفية PostGIS، تسمح للمهاجمين عن بُعد بتنفيذ حقن SQL. تحدث المشكلة لأن البرنامج يفشل في تحديد معلمات مؤشر النطاق بشكل صحيح أثناء معالجة البحث عن الصور النقطية، مما يسمح بدمج المدخلات التي يقدمها المستخدم مباشرةً في استعلامات SQL. وقد يؤدي ذلك إلى الكشف غير المصرح به عن المعلومات، أو تغيير البيانات، أو رفض الخدمة، أو احتمال تنفيذ التعليمات البرمجية عن بُعد على مضيفات قواعد البيانات. تشير الحوادث الفعلية إلى أن هذه المشكلة قد تم استغلالها بشكل نشط في هجمات موجهة ضد منصات الخرائط وخدمات تحديد المواقع وتطبيقات التحليلات الجغرافية المكانية. يتم تشغيل الثغرة الأمنية عبر معلمة مؤشر band أثناء عمليات البحث عن الصور النقطية.التوصيات
تحديث Django إلى الإصدار 6.0.2.
تحديث Django إلى الإصدار 5.2.11.
تحديث Django إلى الإصدار 4.2.28.
تقييد الوصول إلى نقاط نهاية البيانات النقطية لتقليل مخاطر الاستغلال.
فرض التحقق الصارم من صحة المدخلات على معلمة الفهرس
band.نشر قواعد WAF لتصفية أنماط حقن SQL الشائعة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾