CVE-2026-87975

Nome do Software Vulnerável e Versões Afetadas Django versões anteriores a 6.1.2 Django versões anteriores a 6.0.9 Django versões anteriores a 5.2.18

Description Um problema existe na função save existing objects() dentro de django.forms.models.BaseModelFormSet. A função utiliza incorretamente a presença de uma chave primária em uma instância de formulário enviada para verificar se a instância pertence ao queryset limitador do formset. Quando a chave primária de um modelo é um campo aceito pelo formulário — como um OneToOneField, um link pai em um formset inline, ou uma chave primária natural/UUID — um usuário autenticado pode preencher a chave primária através dos dados enviados. Isso permite que um usuário exclua linhas fora do queryset limitador ao forjar dados do formulário de gerenciamento, mesmo sem permissões para o objeto alvo. Modelos que utilizam a chave primária AutoField padrão não são afetados.

Recommendations Atualize para a versão 6.1.2 ou superior. Atualize para a versão 6.0.9 ou superior. Atualize para a versão 5.2.18 ou superior.