CVE-2026-113733 Divulgación de hashes de contraseña a usuarios admin de solo lectura en Django
Django 6.1 antes de 6.1.3 y 6.0 antes de 6.0.10 tienen un problema en django.contrib.admin.utils.display_for_field(): no ofuscaba el campo de contraseña de modelos de usuario distintos de AUTH_USER_MODEL, o de un AUTH_USER_MODEL que hereda el campo de contraseña de un modelo padre concreto mediante herencia multi-tabla, lo que permite a usuarios staff autenticados con solo permiso de lectura sobre ese modelo obtener los hashes completos de contraseña desde el formulario de cambio de solo lectura. Las series…
CVSS 3.1
- CVSS 4.02.1 · baja
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 33
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
djangoproject Django
desde 6.1 hasta antes de 6.1.3desde 6.0 hasta antes de 6.0.10
Qué hacer
- Verificá si usás Django y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 2.2 BAJA
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
CVSS 4.0 · 2.1 BAJA
CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
An issue was discovered in Django 6.1 before 6.1.3 and 6.0 before 6.0.10.
The `django.contrib.admin.utils.display_for_field()` function did not obfuscate the password field of user models other than `AUTH_USER_MODEL`, or of an `AUTH_USER_MODEL` inheriting its password field from a concrete parent model through multi-table inheritance, which allows authenticated staff users with only the view permission on such a model to obtain full password hashes via the read-only change form.
Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected.
Django would like to thank Aaron chen for reporting this issue.
Referencias (6)
- docs.djangoproject.com/en/dev/releases/security/
- groups.google.com/g/django-announce
- github.com/django/django/commit/f5b039a619b3b5394ea5b966e17c7546fda6f937
- github.com/django/django/commit/7d875c0a49d2a59335c65f6bf57970a5bac03be2
- github.com/django/django/commit/67cce9dcd23ddeec41ccf0abfe3431e3cd724365
- www.djangoproject.com/weblog/2026/nov/03/security-releases/
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.