Django veröffentlicht Sicherheits-Updates 6.1.2, 6.0.9 und 5.2.18 zur Behebung von vier Sicherheitslücken

Das Entwicklungsteam des Django-Projekts hat Sicherheits-Updates für die unterstützten Release-Zweige veröffentlicht und stellt damit die Versionen 6.1.2, 6.0.9 sowie 5.2.18 bereit. Die Wartungs-Patches beheben vier verschiedene Sicherheitsprobleme mit niedriger bis mittlerer Schweregrad-Einstufung, darunter potenzielle Denial-of-Service-Vektoren, Server-Side-Request-Forgery-Risiken in GIS-Komponenten und unbefugte Instanzänderungen bei Modell-Formsets.

Schutz vor Denial-of-Service in Header- und Übersetzungs-Utilities

Zwei der behobenen Sicherheitslücken betreffen potenzielle Denial-of-Service-Zustände. Unter CVE-2026-77050, als geringfügig eingestuft, speicherte die Funktion get_supported_language_variant ungeprüfte, übermäßig lange Sprachcodes in einem In-Memory-Cache, was das Risiko eines übermäßigen Speicherverbrauchs barg. Django beschränkt oder kürzt Sprachcodes mit mehr als 500 Zeichen nun vor der Abfrage im Cache.

Der zweite Denial-of-Service-Vektor, CVE-2026-84429, besitzt einen mittleren Schweregrad und resultiert aus einer quadratischen Zeitkomplexität, wenn parse_header_parameters in Anführungszeichen gesetzte Parameterwerte mit zahlreichen Trennzeichen verarbeitet. Nicht authentifizierte Anfragen an Header wie Accept oder Content-Type konnten dieses Verhalten auslösen. Um die Sicherheitslücke zu schließen, stellt Django den zugrundeliegenden Parser in parse_header_parameters auf Pythons integriertes Modul email.message.Message um, was die Dekodierung fehlerhafter Header-Werte geringfügig verändern kann.

Anpassungen bei Spatial-Lookups zur Verhinderung von Request-Forgery

Unter der Bezeichnung CVE-2026-87890 mit mittlerem Schweregrad korrigierte Django einen Fehler, bei dem räumliche Abfragen (Spatial-Lookups) rohe Raster-Byte-Werte akzeptierten, ohne eine explizite Instanziierung über GDALRaster zu verlangen. Da diese rohen Bytes über das virtuelle In-Memory-Dateisystem von GDAL ausgewertet wurden, konnte ein Angreifer ein VRT-Dokument einschleusen, das auf externe Raster-Ziele verweist. Dies führte dazu, dass der Server im Kontext des Django-Prozessbenutzers ungewollte Netzwerkanfragen ausführte.

Zur Behebung des Problems führte Django eine abwärtsinkompatible Änderung ein. Raster-Byte-Eingaben müssen nun in GDALRaster verpackt werden, bevor sie an räumliche Abfragen übergeben werden; gültige hexadezimale Geometrie-Byte-Strings bleiben jedoch weiterhin zulässig.

Rechteausweitung bei Formsets und Empfehlungen für das Update

Unter CVE-2026-87975 (mittlerer Schweregrad) wiesen Modell-Formsets mit bearbeitbaren Primärschlüsseln eine Sicherheitslücke auf, bei der gefälschte POST-Anfragen die Grenzen von Querysets umgehen konnten, um Datensätze über reine Bearbeitungs-Formsets zu löschen oder zu erstellen. Das Problem betrifft Modelle mit Primärschlüsseln, die über bearbeitbare Felder konfiguriert sind – etwa benutzerdefinierte UUIDs, natürliche Schlüssel oder OneToOneField-Konfigurationen –, während Modelle mit dem standardmäßigen BigAutoField-Primärschlüssel unbeeinträchtigt bleiben.

Entsprechende Patches wurden in den Zweigen main, 6.1, 6.0 und 5.2 eingepflegt. Das Django-Entwicklerteam rät allen Entwicklern, die betroffene Versionen einsetzen, umgehend ein Update auf Django 6.1.2, 6.0.9 oder 5.2.18 vorzunehmen.

KI-generierte redaktionelle Illustration; kein Dokumentarfoto.

Quelle: Django security releases issued: 6.1.2, 6.0.9, and 5.2.18