Jake Howard

An issue was discovered in Django 6.1 before 6.1.3 and 6.0 before 6.0.10. The `django.contrib.admin.utils.display for field()` function did not obfuscate the password field of user models other than `AUTH USER MODEL`, or of an `AUTH USER MODEL` inheriting its password field from a concrete parent model through multi-table inheritance, which allows authenticated staff users with only the view permission on such a model to obtain full password hashes via the read-only change form. Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected. Django would like to thank Aaron chen for reporting this issue.

`django.contrib.gis.gdal.SpatialReference` e seus métodos `transform()` e definidores `srs`/`srid` relacionados não restringem o acesso de arquivos e rede do GDAL ao analisar a entrada de strings. Isso permite que invasores desencadeiem solicitações do lado do servidor ou leituras de arquivos locais por meio de strings de referência espacial manipuladas.

O `django.http.multipartparser.MultiPartParser` está sujeito a um consumo excessivo de memória. Isso ocorre ao processar uploads de arquivos multipart com `Content-Transfer-Encoding` em base64, pois os dados podem ser armazenados inteiramente em memória antes de serem passados aos manipuladores de upload.

A função `django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize()`, utilizada por `django.contrib.gis.forms.GeometryField`, não escapa valores submetidos inválidos antes de registrá-los em logs. Isso permite que atacantes remotos injetem ou forjem entradas de log por meio de um valor de geometria manipulado.

Um problema existe onde `django.middleware.cache.UpdateCacheMiddleware` e o decorador `django.views.decorators.cache.cache page()` geram chaves de cache idênticas para solicitações que omitem um cabeçalho listado no cabeçalho `Vary` da resposta e solicitações que incluem esse cabeçalho com um valor vazio. Este comportamento pode permitir que atacantes remotos acessem dados privados armazenados em cache para outra solicitação.

Um problema de negação de serviço existe na função `django.utils.http.parse header parameters()`. O problema decorre de uma complexidade de tempo quadrática ao analisar valores que contenham diversos separadores dentro de um parâmetro entre aspas. Um invasor não autenticado pode desencadear esse comportamento enviando cabeçalhos especialmente manipulados, como `Accept` ou `Content-Type`, que são processados durante a negociação de conteúdo por `HttpRequest.accepts()`. O limite de comprimento por chamada existente não restringe o tamanho combinado de cabeçalhos repetidos.

A função `django.utils.cache.has vary header()` no Django não remove espaços em branco no início ou no final dos valores do cabeçalho de resposta `Vary` antes da comparação. Isso permite que atacantes remotos leiam respostas em cache por meio de requisições a URLs cujas respostas contenham valores de cabeçalho `Vary` preenchidos com espaços em branco.

Existe um problema em `django.middleware.cache.UpdateCacheMiddleware` onde as diretivas de resposta `Cache-Control` não são correspondidas de forma insensível a maiúsculas e minúsculas. Isso permite que atacantes remotos leiam respostas que foram incorretamente armazenadas em cache devido ao uso de valores em maiúsculas ou mistos nas diretivas `Cache-Control`.

Existe um problema em `django.core.mail.backends.smtp.EmailBackend` onde o sistema falha ao impedir a reutilização de uma conexão parcialmente inicializada após a falha de um handshake `STARTTLS` quando a variável `fail silently` está definida como `True`. Isso permite que atacantes de rede on-path interceptem e leiam o conteúdo de e-mails em texto claro.

Quando `SESSION SAVE EVERY REQUEST` está definido como `True`, os cabeçalhos de resposta não variam com base nos cookies se uma sessão não for modificada. Isso permite que um invasor remoto roube a sessão de um usuário após a vítima visitar uma página pública em cache. Trata-se de um problema de fixação de sessão onde o identificador da sessão pode ser comprometido por meio de conteúdo público em cache.

O componente `FilteredRelation` está suscetível a injeção de SQL em aliases de coluna através do uso de caracteres de controle. Isso ocorre quando um dicionário manipulado é usado com expansão de dicionário como os `**kwargs` passados para os métodos `annotate()`, `aggregate()`, `extra()`, `values()`, `values list()` e `alias()` do `QuerySet`.

A função `django.contrib.auth.handlers.modwsgi.check password()`, utilizada para autenticação via `mod wsgi`, está suscetível a um ataque de temporização. Isso permite que atacantes remotos potencialmente enumerem usuários. Séries anteriores e não suportadas do Django, incluindo as versões 5.0.x, 4.1.x e 3.2.x, também podem ser afetadas.

Nome do Software Vulnerável e Versões Afetadas Versões do Django 6.0 a 6.0.1 Versões do Django 5.2 a 5.2.10 Versões do Django 4.2 a 4.2.27 Versões do Django 5.0.x e anteriores Versões do Django 4.1.x e anteriores Versões do Django 3.2.x e anteriores Descrição O componente `ASGIRequest` é suscetível a uma condição de negação de serviço. Um atacante remoto pode explorar isso ao enviar uma requisição especialmente elaborada contendo cabeçalhos duplicados. Recomendações Atualize o Django para a versão 6.0.2 ou posterior. Atualize o Django para a versão 5.2.11 ou posterior. Atualize o Django para a versão 4.2.28 ou posterior.

A classe `html.parser.HTMLParser` contém uma falha onde o processamento de certas entradas malformadas manipuladas resulta em complexidade quadrática no pior cenário. Isso ocorre devido ao uso de uma expressão regular com complexidade computacional ineficiente, o que pode levar ao esgotamento da CPU e a uma negação de serviço amplificada.

A memory exhaustion bug exists in Wagtail's handling of uploaded images and documents. For both images and documents, files are loaded into memory during upload for additional processing. A user with access to upload images or documents through the Wagtail admin interface could upload a file so large that it results in a crash or denial of service. The vulnerability is not exploitable by an ordinary site visitor without access to the Wagtail admin. It can only be exploited by admin users with permission to upload images or documents. Image uploads are restricted to 10MB by default, however this validation only happens on the frontend and on the backend after the vulnerable code.