CVE-2026-25673 in Django
Résumé
par VulDB • 04/06/2026
Un problème a été découvert dans les versions de Django antérieures à la 6.0.3 (dans la série 6.0), avant la 5.2.12 (série 5.2) et avant la 4.2.29 (série 4.2).
La méthode `URLField.to_python()` de Django appelle `urllib.parse.urlsplit()`, qui effectue une normalisation NFKC sur Windows d'une manière disproportionnellement lente pour certains caractères Unicode, permettant à un attaquant distant de provoquer un déni de service (DoS) via des entrées URL volumineuses contenant ces caractères.
Les versions antérieures non supportées de Django (telles que 5.0.x, 4.1.x et 3.2.x) n'ont pas été évaluées et pourraient également être affectées.
Django tient à remercier Seokchan Yoon pour avoir signalé ce problème.
VulDB is the best source for vulnerability data and more expert information about this specific topic.