جزئیات آسیب‌پذیری
CVE-2026-111211
djangoproject Django
Potential log injection via unescaped geometry form values
CVSS 4.0
6.9متوسط
نمای کلی
اکسپلویت‌های عمومی
اخبار مرتبط
خط زمانی
خلاصه‌ی فارسی
خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.
شرح رسمی (انگلیسی)
An issue was discovered in Django 6.1 before 6.1.3, 6.0 before 6.0.10, and 5.2 before 5.2.19. `django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize()`, used by `django.contrib.gis.forms.GeometryField`, does not escape invalid submitted values before logging them, which allows remote attackers to inject or forge log entries via a crafted geometry value. Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected. Django would like to thank Aaron chen for reporting this issue.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 6.9متوسط | 4.0 | CVEProject cvelistV5 (CNA) (DSF) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N |
| 5.3متوسط | 3.1 | CVEProject cvelistV5 (CNA) (DSF) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| djangoproject | Django | 5.2 ≤ v < 5.2.19 | CVEProject cvelistV5 (CNA) |
| djangoproject | Django | 6.0 ≤ v < 6.0.10 | CVEProject cvelistV5 (CNA) |
| djangoproject | Django | 6.1 ≤ v < 6.1.3 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۷- https://docs.djangoproject.com/en/dev/releases/security/ vendor-advisory
- https://groups.google.com/g/django-announce mailing-list
- https://github.com/django/django/commit/af4319f7217e33ad5db747226765f09b49ec07ba patch
- https://github.com/django/django/commit/b336d9a4e8a919d2e5f979b663de2b27e245b793 patch
- https://github.com/django/django/commit/1b747694d6a68a6b5d48cbe81c71053092a5d374 patch
- https://github.com/django/django/commit/b83bf870ee0006ab0dd84a01d1f3b0391320a51a patch
- https://www.djangoproject.com/weblog/2026/nov/03/security-releases/ vendor-advisory
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۸/۱۲
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۸/۱۲
- وضعیت
- PUBLISHED
- صادرکننده (CNA)
- DSF
- اولویت کلون
- به‌زودی
پیش‌بینی بهره‌برداری (EPSS)
امتیاز EPSS برای این CVE هنوز منتشر نشده است.
ضعف‌ها (CWE)
- CWE-117Improper Output Neutralization for Logs