CVE-2026-111211 Inyección de logs en Django por valores de geometría sin escapar
Django 6.1 antes de 6.1.3, 6.0 antes de 6.0.10 y 5.2 antes de 5.2.19 tienen un problema en django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize(), usado por django.contrib.gis.forms.GeometryField: no escapa los valores inválidos enviados antes de registrarlos en el log, lo que permite a atacantes remotos inyectar o falsificar entradas de log mediante un valor de geometría manipulado. Las series anteriores no soportadas (como 5.1.x, 5.0.x y 4.2.x) no fueron evaluadas y también podrían estar afectadas.
CVSS 3.1
- CVSS 4.06.9 · media
- Probabilidad de explotación · EPSS del 09/110,5 % · percentil 45
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
djangoproject Django
desde 6.1 hasta antes de 6.1.3desde 6.0 hasta antes de 6.0.10desde 5.2 hasta antes de 5.2.19
Qué hacer
- Verificá si usás Django y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Baja
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
An issue was discovered in Django 6.1 before 6.1.3, 6.0 before 6.0.10, and 5.2 before 5.2.19.
`django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize()`, used by `django.contrib.gis.forms.GeometryField`, does not escape invalid submitted values before logging them, which allows remote attackers to inject or forge log entries via a crafted geometry value.
Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected.
Django would like to thank Aaron chen for reporting this issue.
Referencias (7)
- docs.djangoproject.com/en/dev/releases/security/
- groups.google.com/g/django-announce
- github.com/django/django/commit/af4319f7217e33ad5db747226765f09b49ec07ba
- github.com/django/django/commit/b336d9a4e8a919d2e5f979b663de2b27e245b793
- github.com/django/django/commit/1b747694d6a68a6b5d48cbe81c71053092a5d374
- github.com/django/django/commit/b83bf870ee0006ab0dd84a01d1f3b0391320a51a
- www.djangoproject.com/weblog/2026/nov/03/security-releases/
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.