Django lanza las actualizaciones de seguridad 6.1.2, 6.0.9 y 5.2.18 para corregir cuatro vulnerabilidades

El equipo del proyecto Django ha publicado actualizaciones de seguridad para sus versiones compatibles, lanzando las versiones 6.1.2, 6.0.9 y 5.2.18. Los parches de mantenimiento solucionan cuatro problemas de seguridad distintos con gravedad de baja a moderada, que incluyen posibles vectores de denegación de servicio, riesgos de falsificación de peticiones en el servidor en componentes GIS y modificaciones no autorizadas de instancias en conjuntos de formularios de modelos.

Defensas contra denegación de servicio en encabezados y herramientas de traducción

Dos de los problemas de seguridad abordados implican posibles condiciones de denegación de servicio. Bajo el identificador CVE-2026-77050, clasificado con gravedad baja, la función get_supported_language_variant almacenaba códigos de idioma excesivamente largos y sin verificar en una memoria caché interna, lo que generaba el riesgo de un consumo excesivo de memoria. Ahora Django limita o trunca los códigos de idioma que superan los 500 caracteres antes de realizar búsquedas en la caché.

El segundo vector de denegación de servicio, CVE-2026-84429, tiene una clasificación de gravedad moderada y se origina en una complejidad temporal cuadrática cuando parse_header_parameters procesa valores de parámetros entre comillas con múltiples separadores. Las peticiones no autenticadas dirigidas a encabezados como Accept o Content-Type podrían activar este comportamiento. Para resolver el fallo, Django reemplazó el analizador subyacente en parse_header_parameters por el módulo integrado email.message.Message de Python, lo que podría alterar ligeramente la forma en que se decodifican algunos valores de encabezado con formato incorrecto.

Cambios en las búsquedas espaciales para bloquear la falsificación de peticiones

Categorizado bajo CVE-2026-87890 con gravedad moderada, Django corrigió un fallo por el cual las búsquedas espaciales aceptaban valores de bytes ráster sin requerir una instanciación explícita mediante GDALRaster. Dado que estos bytes se evaluaban a través del sistema de archivos virtual en memoria de GDAL, un atacante podía proporcionar un documento VRT que hiciera referencia a destinos ráster remotos, provocando que el servidor realizara peticiones de red no intencionadas bajo el usuario del proceso de Django.

Para solucionar el problema, Django introdujo un cambio incompatible con versiones anteriores que exige envolver las entradas de bytes ráster en GDALRaster antes de pasarlas a consultas espaciales, aunque se siguen permitiendo las cadenas de bytes de geometría hexadecimal válidas.

Escalada de privilegios en formsets y recomendaciones de actualización

Bajo CVE-2026-87975, calificado como de gravedad moderada, los conjuntos de formularios de modelos (model formsets) con claves primarias editables contenían una vulnerabilidad mediante la cual peticiones POST falsificadas podían eludir los límites del conjunto de datos (queryset) para eliminar o crear registros a través de formsets diseñados solo para edición. El problema afecta a modelos que utilizan claves primarias configuradas mediante campos editables, como UUID personalizados, claves naturales o configuraciones de OneToOneField, mientras que los modelos que emplean claves primarias predeterminadas BigAutoField no se ven afectados.

Los parches se han aplicado en las ramas main, 6.1, 6.0 y 5.2. Los mantenedores de Django aconsejan a todos los desarrolladores que ejecuten versiones afectadas actualizar de inmediato a Django 6.1.2, 6.0.9 o 5.2.18.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Django security releases issued: 6.1.2, 6.0.9, and 5.2.18