Natalia Bidart

A função `django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize()`, utilizada por `django.contrib.gis.forms.GeometryField`, não escapa valores submetidos inválidos antes de registrá-los em logs. Isso permite que atacantes remotos injetem ou forjem entradas de log por meio de um valor de geometria manipulado.

An issue was discovered in Django 6.1 before 6.1.3 and 6.0 before 6.0.10. The `django.contrib.admin.utils.display for field()` function did not obfuscate the password field of user models other than `AUTH USER MODEL`, or of an `AUTH USER MODEL` inheriting its password field from a concrete parent model through multi-table inheritance, which allows authenticated staff users with only the view permission on such a model to obtain full password hashes via the read-only change form. Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected. Django would like to thank Aaron chen for reporting this issue.

O `django.http.multipartparser.MultiPartParser` está sujeito a um consumo excessivo de memória. Isso ocorre ao processar uploads de arquivos multipart com `Content-Transfer-Encoding` em base64, pois os dados podem ser armazenados inteiramente em memória antes de serem passados aos manipuladores de upload.

Um problema de negação de serviço existe na função `django.utils.http.parse header parameters()`. O problema decorre de uma complexidade de tempo quadrática ao analisar valores que contenham diversos separadores dentro de um parâmetro entre aspas. Um invasor não autenticado pode desencadear esse comportamento enviando cabeçalhos especialmente manipulados, como `Accept` ou `Content-Type`, que são processados durante a negociação de conteúdo por `HttpRequest.accepts()`. O limite de comprimento por chamada existente não restringe o tamanho combinado de cabeçalhos repetidos.

Um problema existe na função `save existing objects()` dentro de `django.forms.models.BaseModelFormSet`. A função utiliza incorretamente a presença de uma chave primária em uma instância de formulário enviada para verificar se a instância pertence ao queryset limitador do formset. Quando a chave primária de um modelo é um campo aceito pelo formulário — como um `OneToOneField`, um link pai em um formset inline, ou uma chave primária natural/UUID — um usuário autenticado pode preencher a chave primária através dos dados enviados. Isso permite que um usuário exclua linhas fora do queryset limitador ao forjar dados do formulário de gerenciamento, mesmo sem permissões para o objeto alvo. Modelos que utilizam a chave primária AutoField padrão não são afetados.

Existe um problema onde a função `django.contrib.admin.utils.display for field()` renderiza valores de `URLField` como links clicáveis na interface de administração sem a validação adequada. Isso permite cross-site scripting (XSS) armazenado contra usuários da equipe que clicarem no link, caso um valor com um esquema inseguro seja armazenado no banco de dados. Isso ocorre em aplicações que persistem dados de `URLField` sem executar a validação do modelo, como por meio de gravações diretas de queryset, desserialização ou importação em massa de entradas não confiáveis.

As buscas espaciais do GeoDjango analisam otimisticamente o valor do lado direito como um raster, passando-o para o construtor `django.contrib.gis.gdal.GDALRaster`. Esse processo permite que entradas não confiáveis, como filtros de campo espacial enviados por meio da string de consulta da lista de alterações do admin do Django por usuários da equipe com permissão de visualização, alcancem o construtor. Se um `dict` ou uma `str` contendo sua representação JSON for fornecida, ela é aberta em modo de gravação, permitindo que um invasor grave um arquivo com nome e conteúdo escolhidos por meio de um driver GDAL baseado em arquivo. Outros valores de `str` são tratados como fontes de dados, o que pode disparar solicitações de rede externas via um manipulador de sistema de arquivos virtual GDAL. A gravação de arquivos em locais posteriormente importados pela aplicação pode resultar em execução remota de código.

O `django.contrib.gis.geos.GEOSGeometry` do GeoDjango está sujeito a uma negação de serviço ao analisar objetos `GEOMETRYCOLLECTION` profundamente aninhados fornecidos como well-known text (WKT), well-known binary (WKB) ou WKB codificado em hexadecimal. Isso ocorre porque o processo desencadeia uma recursão ilimitada, resultando em uma falha de segmentação na biblioteca GEOS subjacente. Este problema também afeta as pesquisas de campo espacial e o campo de formulário `django.contrib.gis.forms.GeometryField`.

Um problema de negação de serviço existe na função `check for language()` dentro de `django.utils.translation`. O problema ocorre quando a função recebe inúmeros códigos de idioma distintos e muito longos, que são armazenados como chaves em um cache na memória, levando ao consumo excessivo de memória do processo. Esses códigos são passados para a função através da view `set language()` em `django.views.i18n`, que não é roteada por padrão. O consumo de memória é limitado pela configuração `DATA UPLOAD MAX MEMORY SIZE` e por um número máximo fixo de entradas no cache.

Existe um problema onde o `DomainNameValidator` não proíbe quebras de linha em nomes de domínio. Embora o `CharField` remova quebras de linha quando utilizado via um campo de formulário, outras implementações podem permiti-las. Se uma aplicação incorporar esses valores contendo quebras de linha em uma resposta HTTP, pode ocorrer a injeção de cabeçalho. A injeção de cabeçalho é uma técnica utilizada para inserir dados maliciosos nos cabeçalhos HTTP, permitindo potencialmente que atacantes manipulem a resposta enviada ao cliente.

O `UpdateCacheMiddleware` e o decorador `cache page()` fazem o cache de respostas que variam com base em cookies quando a requisição recebida contém cookies não relacionados. Esse comportamento permite que atacantes remotos leiam dados privados do cache compartilhado.

Existe um problema em `django.middleware.cache.UpdateCacheMiddleware` onde o cabeçalho `Authorization` não é adicionado ao cabeçalho de resposta `Vary` para solicitações que incluem esse cabeçalho, mas não possuem `Cache-Control: public`. Isso permite que atacantes remotos acessem respostas privadas em cache por meio de solicitações não autenticadas para a mesma URL.

Um problema existe na função `get signed cookie()` dentro de `django.http.HttpRequest`. A função utiliza uma derivação de salt não injetiva ao concatenar o nome do cookie e o argumento de salt. Isso permite que um invasor remoto utilize um cookie em um contexto diferente daquele em que foi assinado, por meio de pares distintos de `name` e `salt` que produzem a mesma concatenação.

Existe um problema em `django.middleware.cache.UpdateCacheMiddleware` onde as diretivas de resposta `Cache-Control` não são correspondidas de forma insensível a maiúsculas e minúsculas. Isso permite que atacantes remotos leiam respostas que foram incorretamente armazenadas em cache devido ao uso de valores em maiúsculas ou mistos nas diretivas `Cache-Control`.

Existe um problema em `django.core.mail.backends.smtp.EmailBackend` onde o sistema falha ao impedir a reutilização de uma conexão parcialmente inicializada após a falha de um handshake `STARTTLS` quando a variável `fail silently` está definida como `True`. Isso permite que atacantes de rede on-path interceptem e leiam o conteúdo de e-mails em texto claro.

A função `django.utils.cache.has vary header()` no Django não remove espaços em branco no início ou no final dos valores do cabeçalho de resposta `Vary` antes da comparação. Isso permite que atacantes remotos leiam respostas em cache por meio de requisições a URLs cujas respostas contenham valores de cabeçalho `Vary` preenchidos com espaços em branco.

Name of the Vulnerable Software and Affected Versions Django versões 4.2 através de 4.2.29, 5.2 através de 5.2.12, e 6.0 através de 6.0.3 Description O componente `MultiPartParser` é suscetível à degradação de desempenho ao processar uploads multipartes contendo `Content-Transfer-Encoding: base64` com espaços em branco excessivos. Atacantes remotos podem explorar isso para impactar negativamente o desempenho do sistema. Recommendations Atualize para a versão do Django 6.0.4 ou posterior. Atualize para a versão do Django 5.2.13 ou posterior. Atualize para a versão do Django 4.2.30 ou posterior.

Name of the Vulnerable Software and Affected Versions Django versões 4.2 através de 4.2.29, 5.2 através de 5.2.12, e 6.0 através de 6.0.3 Description Requisições ASGI que não incluem ou subestimam o cabeçalho `Content-Length` podem ignorar o limite `DATA UPLOAD MAX MEMORY SIZE` ao processar `HttpRequest.body`, permitindo potencialmente que invasores carreguem um corpo de requisição irrestrito na memória. Versões anteriores e não suportadas do Django (como 5.0.x, 4.1.x e 3.2.x) também podem ser afetadas. Recommendations Atualize para a versão 4.2.30 ou posterior do Django. Atualize para a versão 5.2.13 ou posterior do Django. Atualize para a versão 6.0.4 ou posterior do Django.

Existe uma condição de corrida nos backends de armazenamento do sistema de arquivos e de cache baseado em arquivos do Django. Esta condição pode levar à criação de objetos do sistema de arquivos com permissões incorretas quando solicitações concorrentes são processadas em ambientes com múltiplas threads. Especificamente, uma alteração temporária do `umask` feita por uma thread pode afetar outras threads, resultando em permissões de arquivo não intencionais. Séries anteriores e não suportadas do Django (como 5.0.x, 4.1.x e 3.2.x) também podem ser afetadas.

A função `URLField.to python()` no Django chama `urllib.parse.urlsplit()`, que realiza a normalização NFKC no Windows. Esta normalização é desproporcionalmente lenta para determinados caracteres Unicode, potencialmente permitindo que um atacante remoto cause uma negação de serviço ao enviar entradas de URL grandes contendo esses caracteres.