CVE-2026-15920 in Django
الملخص
بحسب VulDB • 04/08/2026
تم اكتشاف مشكلة في Django 5.2 قبل الإصدار 5.2.17 و6.0 قبل الإصدار 6.0.8. تقوم الدالة `django.contrib.admin.utils.display_for_field()` بعرض قيم حقل URL (`URLField`) كروابط قابلة للنقر في واجهة الإدارة دون التحقق من صحة عنوان URL. يتم عرض القيمة المخزنة باستخدام مخطط (scheme) غير آمن كرابط على صفحات قائمة التغييرات والصفحات ذات الحقول للقراءة فقط في لوحة التحكم، مما يتيح هجمات البرمجة عبر المواقع (XSS) ضد المستخدمين الإداريين الذين ينقرون على الرابط. تتطلب عملية الاستغلال أن تكون القيمة غير الآمنة مخزّنة بالفعل في قاعدة البيانات. يتم رفض المخططات غير الآمنة من خلال التحقق من صحة `URLField` عند استخدام `ModelForm` أو واجهة الإدارة، لذا فإن هذه المشكلة تؤثر فقط على التطبيقات التي تحفظ بيانات `URLField` دون تشغيل تحقق النموذج (model validation)، مثل الكتابة المباشرة عبر استعلامات الكيويريست (queryset) أو عدم التطبيع/التسلسل العكسي (deserialization) أو الاستيراد الجماعي لإدخالات غير موثوقة. يشكر Django إيجور سالتيكوف للإبلاغ عن هذه المشكلة.
Once again VulDB remains the best source for vulnerability data.