David Smith

A função `django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize()`, utilizada por `django.contrib.gis.forms.GeometryField`, não escapa valores submetidos inválidos antes de registrá-los em logs. Isso permite que atacantes remotos injetem ou forjem entradas de log por meio de um valor de geometria manipulado.

A classe `django.contrib.gis.gdal.OGRGeometry` não restringe definições externas de sistemas de referência de coordenadas em entradas GeoJSON. Isso permite que atacantes remotos provoquem requisições do lado do servidor para destinos selecionados pelo atacante através de membros `crs` manipulados.

`django.contrib.gis.gdal.SpatialReference` e seus métodos `transform()` e definidores `srs`/`srid` relacionados não restringem o acesso de arquivos e rede do GDAL ao analisar a entrada de strings. Isso permite que invasores desencadeiem solicitações do lado do servidor ou leituras de arquivos locais por meio de strings de referência espacial manipuladas.

Um problema de negação de serviço existe na função `django.utils.http.parse header parameters()`. O problema decorre de uma complexidade de tempo quadrática ao analisar valores que contenham diversos separadores dentro de um parâmetro entre aspas. Um invasor não autenticado pode desencadear esse comportamento enviando cabeçalhos especialmente manipulados, como `Accept` ou `Content-Type`, que são processados durante a negociação de conteúdo por `HttpRequest.accepts()`. O limite de comprimento por chamada existente não restringe o tamanho combinado de cabeçalhos repetidos.