Jacob Walls

An issue was discovered in Django 6.1 before 6.1.3 and 6.0 before 6.0.10. The `django.contrib.admin.utils.display for field()` function did not obfuscate the password field of user models other than `AUTH USER MODEL`, or of an `AUTH USER MODEL` inheriting its password field from a concrete parent model through multi-table inheritance, which allows authenticated staff users with only the view permission on such a model to obtain full password hashes via the read-only change form. Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected. Django would like to thank Aaron chen for reporting this issue.

`django.contrib.gis.gdal.SpatialReference` e seus métodos `transform()` e definidores `srs`/`srid` relacionados não restringem o acesso de arquivos e rede do GDAL ao analisar a entrada de strings. Isso permite que invasores desencadeiem solicitações do lado do servidor ou leituras de arquivos locais por meio de strings de referência espacial manipuladas.

O `django.http.multipartparser.MultiPartParser` está sujeito a um consumo excessivo de memória. Isso ocorre ao processar uploads de arquivos multipart com `Content-Transfer-Encoding` em base64, pois os dados podem ser armazenados inteiramente em memória antes de serem passados aos manipuladores de upload.

A função `django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize()`, utilizada por `django.contrib.gis.forms.GeometryField`, não escapa valores submetidos inválidos antes de registrá-los em logs. Isso permite que atacantes remotos injetem ou forjem entradas de log por meio de um valor de geometria manipulado.

A classe `django.contrib.gis.gdal.OGRGeometry` não restringe definições externas de sistemas de referência de coordenadas em entradas GeoJSON. Isso permite que atacantes remotos provoquem requisições do lado do servidor para destinos selecionados pelo atacante através de membros `crs` manipulados.

Um problema existe onde `django.middleware.cache.UpdateCacheMiddleware` e o decorador `django.views.decorators.cache.cache page()` geram chaves de cache idênticas para solicitações que omitem um cabeçalho listado no cabeçalho `Vary` da resposta e solicitações que incluem esse cabeçalho com um valor vazio. Este comportamento pode permitir que atacantes remotos acessem dados privados armazenados em cache para outra solicitação.

Um problema de negação de serviço existe na função `django.utils.http.parse header parameters()`. O problema decorre de uma complexidade de tempo quadrática ao analisar valores que contenham diversos separadores dentro de um parâmetro entre aspas. Um invasor não autenticado pode desencadear esse comportamento enviando cabeçalhos especialmente manipulados, como `Accept` ou `Content-Type`, que são processados durante a negociação de conteúdo por `HttpRequest.accepts()`. O limite de comprimento por chamada existente não restringe o tamanho combinado de cabeçalhos repetidos.

Um problema existe na função `save existing objects()` dentro de `django.forms.models.BaseModelFormSet`. A função utiliza incorretamente a presença de uma chave primária em uma instância de formulário enviada para verificar se a instância pertence ao queryset limitador do formset. Quando a chave primária de um modelo é um campo aceito pelo formulário — como um `OneToOneField`, um link pai em um formset inline, ou uma chave primária natural/UUID — um usuário autenticado pode preencher a chave primária através dos dados enviados. Isso permite que um usuário exclua linhas fora do queryset limitador ao forjar dados do formulário de gerenciamento, mesmo sem permissões para o objeto alvo. Modelos que utilizam a chave primária AutoField padrão não são afetados.

As buscas espaciais do GeoDjango analisam otimisticamente o valor do lado direito como um raster, passando-o para o construtor `django.contrib.gis.gdal.GDALRaster`. Esse processo permite que entradas não confiáveis, como filtros de campo espacial enviados por meio da string de consulta da lista de alterações do admin do Django por usuários da equipe com permissão de visualização, alcancem o construtor. Se um `dict` ou uma `str` contendo sua representação JSON for fornecida, ela é aberta em modo de gravação, permitindo que um invasor grave um arquivo com nome e conteúdo escolhidos por meio de um driver GDAL baseado em arquivo. Outros valores de `str` são tratados como fontes de dados, o que pode disparar solicitações de rede externas via um manipulador de sistema de arquivos virtual GDAL. A gravação de arquivos em locais posteriormente importados pela aplicação pode resultar em execução remota de código.

O `django.contrib.gis.geos.GEOSGeometry` do GeoDjango está sujeito a uma negação de serviço ao analisar objetos `GEOMETRYCOLLECTION` profundamente aninhados fornecidos como well-known text (WKT), well-known binary (WKB) ou WKB codificado em hexadecimal. Isso ocorre porque o processo desencadeia uma recursão ilimitada, resultando em uma falha de segmentação na biblioteca GEOS subjacente. Este problema também afeta as pesquisas de campo espacial e o campo de formulário `django.contrib.gis.forms.GeometryField`.

Existe um problema onde o `DomainNameValidator` não proíbe quebras de linha em nomes de domínio. Embora o `CharField` remova quebras de linha quando utilizado via um campo de formulário, outras implementações podem permiti-las. Se uma aplicação incorporar esses valores contendo quebras de linha em uma resposta HTTP, pode ocorrer a injeção de cabeçalho. A injeção de cabeçalho é uma técnica utilizada para inserir dados maliciosos nos cabeçalhos HTTP, permitindo potencialmente que atacantes manipulem a resposta enviada ao cliente.

O `UpdateCacheMiddleware` e o decorador `cache page()` fazem o cache de respostas que variam com base em cookies quando a requisição recebida contém cookies não relacionados. Esse comportamento permite que atacantes remotos leiam dados privados do cache compartilhado.

Um problema ocorre quando o `django.contrib.gis.gdal.GDALRaster` realiza a leitura excessiva de seu buffer na memória ao ser construído a partir de um objeto de bytes. Isso pode resultar na divulgação de memória adjacente ou causar a degradação do serviço por meio de uma potencial falha de segmentação (segmentation fault)—um tipo específico de erro que ocorre quando um programa tenta acessar um local de memória ao qual não tem permissão—quando a propriedade `vsi buffer` é acessada.

Existe um problema em `django.middleware.cache.UpdateCacheMiddleware` onde o cabeçalho `Authorization` não é adicionado ao cabeçalho de resposta `Vary` para solicitações que incluem esse cabeçalho, mas não possuem `Cache-Control: public`. Isso permite que atacantes remotos acessem respostas privadas em cache por meio de solicitações não autenticadas para a mesma URL.

Requisições ASGI com o cabeçalho `Content-Length` ausente ou subestimado podem ignorar o limite `FILE UPLOAD MAX MEMORY SIZE`. Isso permite que arquivos grandes sejam carregados na memória, o que pode levar à degradação do serviço e a um potencial ataque de negação de serviço. ASGI (Asynchronous Server Gateway Interface) é um padrão para que servidores web Python assíncronos se comuniquem com aplicações web.

Name of the Vulnerable Software and Affected Versions Django versões 6.0 através de 6.0.3, 5.2 através de 5.2.12, e 4.2 através de 4.2.29 Description Uma falha existe no processo de validação de permissões para instâncias de modelo inline dentro de `GenericInlineModelAdmin` ao lidar com dados `POST` falsificados. Isso pode permitir acesso ou modificação não autorizada de dados. Séries Django anteriores e não suportadas (como 5.0.x, 4.1.x e 3.2.x) também podem ser afetadas. Recommendations Atualize para a versão do Django 6.0.4 ou posterior. Atualize para a versão do Django 5.2.13 ou posterior. Atualize para a versão do Django 4.2.30 ou posterior.

Name of the Vulnerable Software and Affected Versions Django versões 4.2 através de 4.2.29, 5.2 através de 5.2.12, e 6.0 através de 6.0.3 Description O componente `MultiPartParser` é suscetível à degradação de desempenho ao processar uploads multipartes contendo `Content-Transfer-Encoding: base64` com espaços em branco excessivos. Atacantes remotos podem explorar isso para impactar negativamente o desempenho do sistema. Recommendations Atualize para a versão do Django 6.0.4 ou posterior. Atualize para a versão do Django 5.2.13 ou posterior. Atualize para a versão do Django 4.2.30 ou posterior.

Name of the Vulnerable Software and Affected Versions Django versões 4.2 através de 4.2.29, 5.2 através de 5.2.12, e 6.0 através de 6.0.3 Description Requisições ASGI que não incluem ou subestimam o cabeçalho `Content-Length` podem ignorar o limite `DATA UPLOAD MAX MEMORY SIZE` ao processar `HttpRequest.body`, permitindo potencialmente que invasores carreguem um corpo de requisição irrestrito na memória. Versões anteriores e não suportadas do Django (como 5.0.x, 4.1.x e 3.2.x) também podem ser afetadas. Recommendations Atualize para a versão 4.2.30 ou posterior do Django. Atualize para a versão 5.2.13 ou posterior do Django. Atualize para a versão 6.0.4 ou posterior do Django.

Name of the Vulnerable Software and Affected Versions Django versões 6.0 através de 6.0.3, 5.2 através de 5.2.12, e 4.2 através de 4.2.29 Description O componente `ASGIRequest` permite que um atacante remoto falsifique cabeçalhos devido a um mapeamento ambíguo de variantes de cabeçalho (com hífens ou com sublinhados) para uma única versão com sublinhados. Recommendations Atualize para a versão 6.0.4 ou posterior do Django. Atualize para a versão 5.2.13 ou posterior do Django. Atualize para a versão 4.2.30 ou posterior do Django.

Name of the Vulnerable Software and Affected Versions Django versões 6.0 através de 6.0.3 Django versões 5.2 através de 5.2.12 Django versões 4.2 através de 4.2.29 Django versões 5.0.x e anteriores Django versões 4.1.x e anteriores Django versões 3.2.x e anteriores Description Foi descoberta uma falha em que formulários de lista de alterações de administrador usando `ModelAdmin.list editable` permitiram incorretamente a criação de novas instâncias por meio de dados `POST` falsificados. Séries Django anteriores e não suportadas (como 5.0.x, 4.1.x e 3.2.x) não foram avaliadas e também podem ser afetadas. Recommendations Atualize para a versão 6.0.4 ou posterior do Django. Atualize para a versão 5.2.13 ou posterior do Django. Atualize para a versão 4.2.30 ou posterior do Django.