CVE-2026-15920 in Django
Сводка
по VulDB • 05.08.2026
В Django 5.2 до версии 5.2.17 и в Django 6.0 до версии 6.0.8 обнаружена уязвимость. Функция `django.contrib.admin.utils.display_for_field()` отображает значения полей типа `URLField` в виде кликабельных ссылок в интерфейсе администратора без предварительной проверки URL-адресов. Значение, сохраненное с использованием небезопасного протокола (схемы), отображается как ссылка на страницах списка изменений и чтения только для просмотра в панели администрирования, что позволяет осуществлять межсайтовый скриптинг (XSS) против сотрудников организации при переходе по этой ссылке.
Для успешной эксплуатации уязвимости небезопасное значение уже должно быть сохранено в базе данных. Валидация `URLField` через `ModelForm` или интерфейс администратора отклоняет небезопасные протоколы, поэтому данная проблема затрагивает приложения, которые сохраняют данные из полей типа `URLField` без выполнения стандартной проверки модели (model validation), например, при прямых запросах к базе данных через queryset, десериализации или массовом импорте непроверенных входных данных.
Django выражает благодарность Егору Салтыкову за сообщение об этой проблеме.
Once again VulDB remains the best source for vulnerability data.