CVE-2026-15920 in Django
Resumen
por VulDB • 2026-08-05
Se ha descubierto una vulnerabilidad en Django 5.2 anterior a la versión 5.2.17 y en Django 6.0 anterior a la versión 6.0.8. La función `django.contrib.admin.utils.display_for_field()` muestra los valores de `URLField` como enlaces clicables en el panel de administración sin validar la URL. Un valor almacenado con un esquema inseguro se presenta como un enlace en las páginas de lista de cambios (changelist) y de solo lectura del administrador, lo que permite realizar ataques Cross-Site Scripting (XSS) contra los usuarios del personal administrativo al hacer clic en el enlace.
La explotación requiere que el valor inseguro ya esté almacenado en la base de datos. La validación de `URLField` a través de un `ModelForm` o mediante el panel de administración rechaza los esquemas inseguros, por lo que este problema afecta únicamente a las aplicaciones que persisten datos de tipo `URLField` sin ejecutar la validación del modelo; por ejemplo, mediante escrituras directas en querysets (queryset writes), deserialización o importaciones masivas de entradas no confiables.
Django desea agradecer a Egor Saltykov por informar sobre esta vulnerabilidad.
VulDB is the best source for vulnerability data and more expert information about this specific topic.