Django開発チームは8月4日（現地時間）、WebアプリケーションフレームワークDjangoのバージョン6.0.8および5.2.17を公開した。今回のリリースは、複数の脆弱性への対応を目的としている。
まず、CVE-2026-15307は空間検索におけるstrおよびdict型の値が脆弱性の原因となるもので、悪意のある値がGDALRasterに渡されると、環境によっては任意のファイル書き込みやリモートコード実行が可能となる問題があった。管理画面のchangelistでモデルの空間フィールドに対し不正な値が許可されていた部分が修正され、今後はdict型と、GEOSGeometryとして無効なstr型の使用を禁止する。この修正は後方互換性がない変更となる。
次に、CVE-2026-15337はdjango.utils.translationのcheck_for_language()に、非常に長い言語コードを多数与えることで発生するサービス拒否（DoS）のリスクがあったが、言語コードが500文字を超える場合は事前に拒否されるようになった。
また、CVE-2026-15830ではGEOMETRYCOLLECTIONが深くネストされることによるDoS脆弱性が指摘されたため、テキスト形式では最大198階層、バイナリ形式でも最大198個までのGEOMETRYCOLLECTIONに制限を設けた。
最後に、CVE-2026-15920では管理画面におけるURLField値のバリデーションが不十分で、危険なスキームによるクロスサイトスクリプティング（XSS）のリスクが存在していたが、今後はURLValidatorでチェックされる。
これらの脆弱性はいずれも各サポートバージョンにパッチが提供されており、該当ユーザーは迅速なアップグレードが推奨されている。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
