JVNDB-2026-006391

Django Software FoundationのDjangoにおける複数の脆弱性

6.0.3 より前の 6.0、5.2.12 より前の 5.2、および 4.2.29 より前の 4.2 に問題が発見されました。Django の `URLField.to_python()` は `urllib.parse.urlsplit()` を呼び出しますが、Windows 上で特定の Unicode 文字に対して不均衡に遅い NFKC 正規化を実行します。これによりリモート攻撃者がこれらの文字を含む大きな URL 入力を使ってサービス拒否を引き起こす可能性があります。以前のサポートされていない Django シリーズ（5.0.x、4.1.x、3.2.x など）も評価されておらず、影響を受ける可能性があります。Django はこの問題を報告した Seokchan Yoon に感謝しています。

Django Software Foundation

• Django 4.2.0 以上 4.2.29 未満
• Django 5.2 以上 5.2.12 未満
• Django 6.0 以上 6.0.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Django Software Foundation

• Documentation : Archive of security issues | Django documentation | Django
• News & Events : Django security releases issued: 6.0.3, 5.2.12, and 4.2.29 | Weblog | Django

1. リソースの枯渇(CWE-400) [その他]
2. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [NVD評価]

1. CVE-2026-25673

1. National Vulnerability Database (NVD) : CVE-2026-25673
2. 関連文書 : django-announce - Google グループ

• [2026年03月09日]
    掲載