CVE-2026-111362 Falsificación de petición del lado del servidor en Django vía crs de GeoJSON
Django 6.1 antes de 6.1.3, 6.0 antes de 6.0.10 y 5.2 antes de 5.2.19 tienen un problema en django.contrib.gis.gdal.OGRGeometry: no restringe las definiciones externas de sistemas de referencia de coordenadas en la entrada GeoJSON, lo que permite a atacantes remotos provocar peticiones del lado del servidor a destinos elegidos por el atacante mediante miembros crs manipulados. Las series anteriores no soportadas (como 5.1.x, 5.0.x y 4.2.x) no fueron evaluadas y también podrían estar afectadas.
CVSS 3.1
- CVSS 4.06.9 · media
- Probabilidad de explotación · EPSS del 09/110,5 % · percentil 45
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
djangoproject Django
desde 6.1 hasta antes de 6.1.3desde 6.0 hasta antes de 6.0.10desde 5.2 hasta antes de 5.2.19
Qué hacer
- Verificá si usás Django y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:L/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Baja
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
An issue was discovered in Django 6.1 before 6.1.3, 6.0 before 6.0.10, and 5.2 before 5.2.19.
`django.contrib.gis.gdal.OGRGeometry` does not restrict external coordinate reference system definitions in GeoJSON input, which allows remote attackers to cause server-side requests to attacker-selected destinations via crafted crs members.
Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected.
Django would like to thank Submersion Security Research Team for reporting this issue.
Referencias (7)
- docs.djangoproject.com/en/dev/releases/security/
- groups.google.com/g/django-announce
- github.com/django/django/commit/ecb2b77b49890d6b2120f73fb3d7eb7ac7650143
- github.com/django/django/commit/649fb7985f67d5936dfb8caae6a54c0870dc8eec
- github.com/django/django/commit/e938f676fcca72f41247b0e96d4f0805e1722913
- github.com/django/django/commit/31bef742da017bc71fdce9298c30984aad844102
- www.djangoproject.com/weblog/2026/nov/03/security-releases/
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.