「Django」に4件の脆弱性 - セキュリティアップデートを公開

ウェブアプリケーションフレームワーク「Django」に複数の脆弱性が判明した。アップデートが提供されている。

開発チームが現地時間2026年8月4日、セキュリティアドバイザリを公開し、アップデートとなる「Django 6.0.8」「同5.2.17」をリリースしたことを明らかにした。あわせて4件の脆弱性へ対処している。

「CVE-2026-15307」は、一部タイプの空間ルックアップによって、ファイルの書き込みや外部へのネットワークリクエストが可能となる脆弱性。一部環境ではリモートコード実行につながるおそれもあるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.8」と評価されており、重要度は4段階中、2番目に高い「高（High）」とレーティングされている。

さらに重要度が「中（Moderate）」とされる2件の脆弱性に対処した。深くネストした「GEOMETRYCOLLECTION」により異常終了が生じる「CVE-2026-15830」、管理画面において、URLの安全性を検証せずにリンクを生成することに起因するクロスサイトスクリプティング（XSS）の脆弱性「CVE-2026-15920」を解消した。

また重要度が「低（Low）」とされる脆弱性「CVE-2026-15337」を修正。長大かつ互いに異なる言語コードを大量に処理させ、メモリを過剰に消費し、サービス拒否に陥るおそれがある。脆弱性の緩和策として、500文字を超える言語コードについては、キャッシュされた検索の実行前に拒否されるよう変更した。

（Security NEXT - 2026/08/07 ）ツイート

「Django」に4件の脆弱性 - セキュリティアップデートを公開

関連リンク

PR

関連記事