CVE-2026-114582 Falsificación de petición del lado del servidor en Django vía SpatialReference
Django 6.1 antes de 6.1.3, 6.0 antes de 6.0.10 y 5.2 antes de 5.2.19 tienen un problema en django.contrib.gis.gdal.SpatialReference (y los métodos transform() y los setters srs/srid relacionados): no restringen el acceso a archivos y red de GDAL al analizar entrada de tipo string, lo que permite a atacantes provocar peticiones del lado del servidor o lecturas de archivos locales mediante cadenas de referencia espacial manipuladas. Las series anteriores no soportadas (como 5.1.x, 5.0.x y 4.2.x) no fueron evaluadas…
CVSS 3.1
- CVSS 4.06.9 · media
- Probabilidad de explotación · EPSS del 09/110,4 % · percentil 37
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
djangoproject Django
desde 6.1 hasta antes de 6.1.3desde 6.0 hasta antes de 6.0.10desde 5.2 hasta antes de 5.2.19
Qué hacer
- Verificá si usás Django y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
CVSS 4.0 · 6.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Baja
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
An issue was discovered in Django 6.1 before 6.1.3, 6.0 before 6.0.10, and 5.2 before 5.2.19.
`django.contrib.gis.gdal.SpatialReference` (and related `transform()` methods and `srs`/`srid` setters) do not restrict GDAL’s file and network access when parsing string input, which allows attackers to trigger server-side requests or local file reads via crafted spatial reference strings.
Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may also be affected.
Django would like to thank Adraca for reporting this issue.
Referencias (7)
- docs.djangoproject.com/en/dev/releases/security/
- groups.google.com/g/django-announce
- github.com/django/django/commit/3a2ec4378b53c7b8ff5283ad7eba624ffa6f2b2f
- github.com/django/django/commit/a658355eb51feccbe90b5ca2e3b7f3543cd99e01
- github.com/django/django/commit/1c980729e53ef119d43a01d32ead30116c46cd36
- github.com/django/django/commit/8bda4d0db15f28828d8db000287562efae5ce063
- www.djangoproject.com/weblog/2026/nov/03/security-releases/
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.