Django lança atualizações de segurança 6.1.2, 6.0.9 e 5.2.18 para corrigir quatro vulnerabilidades

A equipe do projeto Django lançou atualizações de segurança para as versões com suporte ativo, disponibilizando as edições 6.1.2, 6.0.9 e 5.2.18. Os patches de manutenção resolvem quatro problemas de segurança distintos com gravidades que variam de baixa a moderada, incluindo potenciais vetores de negação de serviço, riscos de forjamento de requisição no lado do servidor em componentes GIS e modificações não autorizadas de instâncias em formsets de modelos.

Defesas contra negação de serviço em cabeçalhos e utilitários de tradução

Dois dos problemas de segurança corrigidos envolvem potenciais condições de negação de serviço. Sob a CVE-2026-77050, classificada como de baixa gravidade, a função get_supported_language_variant armazenava códigos de idioma excessivamente longos e sem verificação prévia em um cache em memória, criando o risco de consumo excessivo de memória. Agora, o Django limita ou trunca códigos de idioma com mais de 500 caracteres antes de realizar as buscas no cache.

O segundo vetor de negação de serviço, a CVE-2026-84429, possui classificação de gravidade moderada e decorre de uma complexidade de tempo quadrática quando a função parse_header_parameters processa valores de parâmetros entre aspas contendo numerosos separadores. Requisições não autenticadas direcionadas a cabeçalhos como Accept ou Content-Type poderiam disparar esse comportamento. Para resolver a falha, o Django substituiu o analisador interno da parse_header_parameters pelo módulo nativo email.message.Message do Python, o que pode alterar ligeiramente a forma como valores de cabeçalho malformados são decodificados.

Mudanças em consultas espaciais para bloquear forjamento de requisições

Categorizada sob a CVE-2026-87890 como de gravidade moderada, o Django corrigiu uma falha em que consultas espaciais aceitavam valores brutos em bytes de imagens rasterizadas sem exigir a instanciação explícita por meio de GDALRaster. Como esses bytes brutos eram avaliados através do sistema de arquivos virtual em memória do GDAL, um atacante poderia fornecer um documento VRT que fizesse referência a destinos rasterizados remotos, levando o servidor a emitir requisições de rede não intencionais sob o usuário do processo do Django.

Para corrigir a questão, o Django introduziu uma mudança incompatível com versões anteriores que exige que as entradas em bytes de imagens rasterizadas sejam envolvidas em um GDALRaster antes de serem passadas para consultas espaciais, embora sequências de bytes geométricos em hexadecimal válidos continuem sendo permitidas.

Elevação de privilégio em formsets e orientações para atualização

Sob a CVE-2026-87975, classificada como de gravidade moderada, formsets de modelos com chaves primárias editáveis continham uma vulnerabilidade em que requisições POST forjadas podiam burlar os limites do conjunto de consultas (queryset) para excluir ou criar registros por meio de formsets configurados apenas para edição. O problema afeta modelos que utilizam chaves primárias configuradas por meio de campos editáveis, como UUIDs customizados, chaves naturais ou configurações com OneToOneField, enquanto modelos que usam a chave primária padrão BigAutoField não são afetados.

Os patches foram aplicados nos ramais main, 6.1, 6.0 e 5.2. Os mantenedores do Django aconselham que todos os desenvolvedores que utilizam as versões impactadas atualizem imediatamente para o Django 6.1.2, 6.0.9 ou 5.2.18.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: Django security releases issued: 6.1.2, 6.0.9, and 5.2.18