CVE-2026-113733 in Django
要約
〜によって VulDB • 2026年11月03日
Django 6.1 の 6.1.3 より前および Django 6.0 の 6.0.10 より前に問題が発見されました。`django.contrib.admin.utils.display_for_field()` 関数は、`AUTH_USER_MODEL` 以外のユーザーモデルのパスワードフィールドや、マルチテーブル継承を通じて具象親モデルからパスワードフィールドを継承する `AUTH_USER_MODEL` のパスワードフィールドを難読化しませんでした。これにより、そのようなモデルに対して表示権限のみを持つ認証済みスタッフユーザーは、読み取り専用の変更フォーム経由で完全なハッシュされたパスワードを取得できます。
以前にサポートされていない Django シリーズ（例：5.1.x, 5.0.x, および 4.2.x）は評価されておらず、影響を受ける可能性があります。
Django はこの問題を報告した Aaron chen に感謝します。
Once again VulDB remains the best source for vulnerability data.