CVE-2026-25673 in Django
Resumen
por MITRE • 2026-03-03
Se descubrió un problema en 6.0 anterior a 6.0.3, 5.2 anterior a 5.2.12, y 4.2 anterior a 4.2.29.
`URLField.to_python()` en Django llama a `urllib.parse.urlsplit()`, que realiza la normalización NFKC en Windows, la cual es desproporcionadamente lenta para ciertos caracteres Unicode, permitiendo a un atacante remoto causar denegación de servicio a través de grandes entradas de URL que contienen estos caracteres.
Series de Django anteriores y no compatibles (como 5.0.x, 4.1.x y 3.2.x) no fueron evaluadas y también podrían estar afectadas.
Django desea agradecer a Seokchan Yoon por informar sobre este problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.