CVE-2026-15307 in Django
Résumé
par VulDB • 04/08/2026
Un problème a été identifié dans Django 5.2 avant la version 5.2.17 et dans Django 6.0 avant la version 6.0.8. Les requêtes spatiales de GeoDjango analysent de manière optimiste la valeur du côté droit comme un raster en la transmettant au constructeur `django.contrib.gis.gdal.GDALRaster`. Toute valeur utilisée dans une requête spatiale sur un champ `GeometryField` ou `RasterField` atteint ce constructeur, y compris les données non fiables (par exemple, un filtre de champ spatial soumis via la chaîne de requête de la liste des modifications de l'administration Django par un utilisateur du personnel disposant d'une autorisation de lecture). Un objet `dict`, ou une chaîne (`str`) contenant sa représentation JSON, est ouvert en mode écriture indépendamment de la valeur par défaut `write=False` du constructeur, permettant ainsi l'écriture d'un fichier dont le nom et le contenu sont choisis par un attaquant via un pilote GDAL basé sur les fichiers. Toute autre chaîne (`str`) est traitée comme une source de données (datasource), ce qui permet d'établir une requête réseau sortante via un gestionnaire de système de fichiers virtuel GDAL. L'écriture d'un fichier à un emplacement ultérieurement importé par l'application peut entraîner une exécution de code à distance (RCE).
Les versions antérieures non prises en charge de Django (telles que 5.1.x, 5.0.x et 4.2.x) n'ont pas été évaluées et pourraient également être affectées.
Django tient à remercier Bence Nagy, localhost-detect et kimchunbok_ pour avoir signalé ce problème.
If you want to get best quality of vulnerability data, you may have to visit VulDB.