CVE-2026-4292— Django 安全漏洞
Possible ATT&CK Techniques 1AI
T1190 · Exploit Public-Facing Application新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-4292の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Privilege abuse in ModelAdmin.list_editable
ソース: CVE Program / CVE List V5
脆弱性説明
An issue was discovered in 6.0 before 6.0.4, 5.2 before 5.2.13, and 4.2 before 4.2.30. Admin changelist forms using `ModelAdmin.list_editable` incorrectly allowed new instances to be created via forged `POST` data. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Cantina for reporting this issue.
ソース: CVE Program / CVE List V5
CVSS情報
N/A
ソース: CVE Program / CVE List V5
脆弱性タイプ
授权机制缺失
ソース: CVE Program / CVE List V5
脆弱性タイトル
Django 安全漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
Django是Django基金会的一套基于Python语言的开源Web应用框架。该框架包括面向对象的映射器、视图系统、模板系统等。 Django 6.0.4之前版本、5.2.13之前版本和4.2.30之前版本存在安全漏洞，该漏洞源于使用ModelAdmin.list_editable的管理更改列表表单错误地允许通过伪造的POST数据创建新实例。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| djangoproject | Django | 6.0 ~ 6.0.4 | - |
II. CVE-2026-4292の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-4292のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-4292 厂商安全公告 (2)
- Archive of security issues | Django documentation | Djangovendor-advisory
CVE-2026-4292 邮件列表归档 (1)
- django-announce - Google Groupsmailing-list
Same Patch Batch · djangoproject · 2026-04-07 · 5 CVEs total
| CVE-2026-3902 | ASGI header spoofing via underscore/hyphen conflation | |
| CVE-2026-4277 | Privilege abuse in GenericInlineModelAdmin | |
| CVE-2026-33033 | Potential denial-of-service vulnerability in MultiPartParser via base64-encoded file uploa | |
| CVE-2026-33034 | Potential denial-of-service vulnerability in ASGI requests via memory upload limit bypass |
IV. 関連脆弱性
同じ製品: Django
- CVE-2026-15920
Potential cross-site scripting via URLField values in the ad - CVE-2026-15830
Potential denial-of-service vulnerability via nested geometr - CVE-2026-15337
Potential denial-of-service vulnerability in check_for_langu - CVE-2026-15307
Server-side file-write and request forgery via spatial looku - CVE-2026-53878
Header injection possibility since DomainNameValidator accep
同じベンダー: djangoproject
- CVE-2026-15920
Potential cross-site scripting via URLField values in the ad - CVE-2026-15830
Potential denial-of-service vulnerability via nested geometr - CVE-2026-15337
Potential denial-of-service vulnerability in check_for_langu - CVE-2026-15307
Server-side file-write and request forgery via spatial looku - CVE-2026-53878
Header injection possibility since DomainNameValidator accep
同じ弱点: CWE-862
- CVE-2026-8840
Booking calendar, Appointment Booking System <= 3.2.36 - Mis - CVE-2026-73048
SiYuan before v3.7.4 Information Disclosure via getRefIDsByF - CVE-2026-72825
Grav before 1.0.13 API-key scope cap bypass via ReportsContr - CVE-2026-72824
Grav before 1.0.13 API Key Scope Bypass via PagesController - CVE-2026-72823
Grav before 1.0.13 API-key scope cap bypass via DemoControll
V. CVE-2026-4292へのコメント
まだコメントはありません