https://alertas.dupin.com.ar/fabricante/djangoproject/Alertas de vulnerabilidades de djangoproject.esTue, 03 Nov 2026 16:55:46 +000010https://alertas.dupin.com.ar/cve/CVE-2026-108147/tg:62990Tue, 03 Nov 2026 16:55:46 +0000VulnerabilidadDjango 6.1 antes de 6.1.3, 6.0.4 antes de 6.0.10 y 5.2.13 antes de 5.2.19 tienen un problema en django.http.multipartparser.MultiPartParser: consume memoria excesiva al procesar cargas de archivos multipart con Content-Transfer-Encoding base64, que podrían almacenarse enteros en memoria antes de pasar a los manejadores de carga. Las series anteriores no soportadas (como 5.1.x, 5.0.x y 4.2.x) no fueron evaluadas y también podrían estar afectadas.https://alertas.dupin.com.ar/cve/CVE-2026-111211/tg:62989Tue, 03 Nov 2026 16:55:46 +0000VulnerabilidadDjango 6.1 antes de 6.1.3, 6.0 antes de 6.0.10 y 5.2 antes de 5.2.19 tienen un problema en django.contrib.gis.forms.widgets.BaseGeometryWidget.deserialize(), usado por django.contrib.gis.forms.GeometryField: no escapa los valores inválidos enviados antes de registrarlos en el log, lo que permite a atacantes remotos inyectar o falsificar entradas de log mediante un valor de geometría manipulado. Las series anteriores no soportadas (como 5.1.x, 5.0.x y 4.2.x) no fueron evaluadas y también podrían estar afectadas.https://alertas.dupin.com.ar/cve/CVE-2026-111362/tg:62988Tue, 03 Nov 2026 16:55:45 +0000VulnerabilidadDjango 6.1 antes de 6.1.3, 6.0 antes de 6.0.10 y 5.2 antes de 5.2.19 tienen un problema en django.contrib.gis.gdal.OGRGeometry: no restringe las definiciones externas de sistemas de referencia de coordenadas en la entrada GeoJSON, lo que permite a atacantes remotos provocar peticiones del lado del servidor a destinos elegidos por el atacante mediante miembros crs manipulados. Las series anteriores no soportadas (como 5.1.x, 5.0.x y 4.2.x) no fueron evaluadas y también podrían estar afectadas.https://alertas.dupin.com.ar/cve/CVE-2026-113593/tg:62987Tue, 03 Nov 2026 16:55:41 +0000VulnerabilidadDjango 6.1 antes de 6.1.3, 6.0 antes de 6.0.10 y 5.2 antes de 5.2.19 tienen un problema en django.middleware.cache.UpdateCacheMiddleware y en el decorador django.views.decorators.cache.cache_page(): generan claves de caché idénticas para peticiones que omiten un encabezado listado en el Vary de la respuesta y para peticiones que lo incluyen con valor vacío, lo que podría permitir a atacantes remotos acceder a datos privados cacheados para otra petición. Las series anteriores no soportadas (como 5.1.x, 5.0.x y…https://alertas.dupin.com.ar/cve/CVE-2026-113733/tg:62986Tue, 03 Nov 2026 16:55:40 +0000VulnerabilidadDjango 6.1 antes de 6.1.3 y 6.0 antes de 6.0.10 tienen un problema en django.contrib.admin.utils.display_for_field(): no ofuscaba el campo de contraseña de modelos de usuario distintos de AUTH_USER_MODEL, o de un AUTH_USER_MODEL que hereda el campo de contraseña de un modelo padre concreto mediante herencia multi-tabla, lo que permite a usuarios staff autenticados con solo permiso de lectura sobre ese modelo obtener los hashes completos de contraseña desde el formulario de cambio de solo lectura. Las series…https://alertas.dupin.com.ar/cve/CVE-2026-114582/tg:62985Tue, 03 Nov 2026 16:55:39 +0000VulnerabilidadDjango 6.1 antes de 6.1.3, 6.0 antes de 6.0.10 y 5.2 antes de 5.2.19 tienen un problema en django.contrib.gis.gdal.SpatialReference (y los métodos transform() y los setters srs/srid relacionados): no restringen el acceso a archivos y red de GDAL al analizar entrada de tipo string, lo que permite a atacantes provocar peticiones del lado del servidor o lecturas de archivos locales mediante cadenas de referencia espacial manipuladas. Las series anteriores no soportadas (como 5.1.x, 5.0.x y 4.2.x) no fueron evaluadas…