Djangoチームは11月3日（現地時間）、Django 6.1.3、6.0.10、5.2.19のセキュリティリリースを公開した。6件の脆弱性に対処しており、すべてのユーザーにできるだけ早いアップグレードを推奨している。
深刻度が「moderate」とされたのはCVE-2026-111362で、GeoJSONジオメトリのcrsメンバーを介したサーバーサイドリクエストフォージェリ（SSRF）の脆弱性である。ユーザー入力からジオメトリを生成する処理で悪意あるCRSが送信されると、Djangoのプロセスユーザーとしてネットワークリクエストやファイルの読み込みが行われる恐れがあった。
このほか、深刻度「low」の脆弱性5件も修正した。内容は、SpatialReferenceへの文字列入力を介したSSRF（CVE-2026-114582）、base64エンコードされたファイルアップロードによるMultiPartParserのメモリ枯渇（CVE-2026-108147）、GeometryFieldで値がエスケープされないことによるログインジェクション（CVE-2026-111211）である。さらに、Varyヘッダに含まれるヘッダが欠落した場合と空の場合を区別しないことによる非公開データ漏えい（CVE-2026-113593）と、カスタムユーザーモデル使用時に閲覧権限のみを持つ管理ユーザーへパスワードハッシュが表示される問題（CVE-2026-113733）も修正対象となった。
CVE-2026-114582の完全な保護にはGDAL 3.9以降が必要である。インストール済みのGDALが3.9未満の場合に警告するシステムチェックgis.W001が新たに追加された。
- 関連リンク
この記事は参考になりましたか？
- この記事の著者
-
CodeZine編集部（コードジンヘンシュウブ）
CodeZineは、株式会社翔泳社が運営する開発者のための情報メディアです。日々の開発に取り組むエンジニアやテクノロジーを学びたい方に向けて、プログラミングやAI活用、開発ツール、エンジニアの学びとキャリアに関する記事をお届けしています。
※プロフィールは、執筆時点、または直近の記事の寄稿時点での内容です
この記事は参考になりましたか？
この記事をシェア
