JVNDB-2026-029037

Django Software FoundationのDjangoにおける複数の脆弱性

Djangoのバージョン5.2の5.2.17未満および6.0の6.0.8未満に問題が発見されました。GeoDjangoの空間検索では、右辺の値を楽観的にラスターとして解析し、それを`django.contrib.gis.gdal.GDALRaster`コンストラクタに渡します。`GeometryField`や`RasterField`に対する空間検索で使用される任意の値は、このコンストラクタに到達します。これには、例えば管理サイトの変更リストのクエリ文字列を通じてスタッフユーザーの閲覧権限で送信された信頼されていない入力も含まれます。`dict`やそのJSON表現を保持する`str`は、コンストラクタのデフォルトである`write=False`にかかわらず書き込みモードで開かれ、攻撃者が選んだ名前と内容のファイルがファイルバックドGDALドライバを介して書き込まれる可能性があります。その他の`str`はデータソースとして扱われ、GDALの仮想ファイルシステムハンドラを通じてアウトバウンドのネットワークリクエストが発生します。後でアプリケーションによってインポートされる場所にファイルを書き込むことで、リモートコード実行が発生する恐れがあります。以前のサポート終了済みDjangoシリーズ（5.1.x、5.0.x、4.2.xなど）については評価されておらず、影響を受ける可能性があります。Djangoはこの問題を報告したBence Nagy氏、localhost-detect氏、kimchunbok_氏に感謝しています。

Django Software Foundation

• Django 5.2.17 未満
• Django 6.0 以上 6.0.8 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Django Software Foundation

• Documentation : Archive of security issues | Django documentation | Django
• News & Events : Django security releases issued: 6.0.8 and 5.2.17 | Weblog | Django

1. ファイル名やパス名の外部制御(CWE-73) [その他]
2. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-15307

1. National Vulnerability Database (NVD) : CVE-2026-15307
2. 関連文書 : [6.0.x] Fixed CVE-2026-15307 -- Blocked raster strings and dicts in s…  django/django@208f80c  GitHub
3. 関連文書 : django-announce - Google グループ
4. 関連文書 : [6.1.x] Fixed CVE-2026-15307 -- Blocked raster strings and dicts in s…  django/django@39b3e2d  GitHub
5. 関連文書 : Fixed CVE-2026-15307 -- Blocked raster strings and dicts in spatial l…  django/django@f1949c1  GitHub
6. 関連文書 : [5.2.x] Fixed CVE-2026-15307 -- Blocked raster strings and dicts in s…  django/django@115ffd0  GitHub

• [2026年08月20日]
    掲載