PT-2026-22741 · Django+1 · Django+1

Natalia Bidart + 1 · Publicado 2026-03-03 · Atualizado 2026-05-13 · CVE-2026-25673

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do Software Vulnerável e Versões Afetadas Versões do Django 6.0 a 6.0.2 Versões do Django 5.2 a 5.2.11 Versões do Django 4.2 a 4.2.28 Versões do Django 5.0.x e anteriores Versões do Django 4.1.x e anteriores Versões do Django 3.2.x e anteriores

Descrição A função URLField.to python() no Django chama urllib.parse.urlsplit(), que realiza a normalização NFKC no Windows. Esta normalização é desproporcionalmente lenta para determinados caracteres Unicode, potencialmente permitindo que um atacante remoto cause uma negação de serviço ao enviar entradas de URL grandes contendo esses caracteres.

Recomendações Atualize o Django para a versão 6.0.3 ou superior. Atualize o Django para a versão 5.2.12 ou superior. Atualize o Django para a versão 4.2.29 ou superior.

Correção

DoS

Allocation of Resources Without Limits

Resource Exhaustion

Enumeração de Fraquezas

CWE-770

CWE-400

Identificadores relacionados

BDU:2026-07737

BIT-DJANGO-2026-25673

CVE-2026-25673

ECHO-DE02-7575-4370

GHSA-8P8V-WH79-9R56

Produtos afetados

Django

Red Os

Referências · 20

• https://github.com/django/django · Nota
• https://github.com/django/django/commit/b3e8ec8cc310489fe80174b14b11edb970d682ea · Nota
• https://github.com/django/django/commit/b1444d9acf43db9de96e0da2b4737ad56af0eb76 · Nota
• https://github.com/django/django/commit/4d3c184686626d224d9a87451410ecf802b41f7c · Nota
• https://docs.djangoproject.com/en/dev/releases/security · Aviso do Fabricante, Correção
• https://osv.dev/vulnerability/CVE-2026-25673 · Aviso do Fabricante
• https://github.com/advisories/GHSA-8p8v-wh79-9r56 · Nota
• https://twitter.com/the_yellow_fall/status/2029019975021694980 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-8p8v-wh79-9r56 · Aviso do Fabricante
• https://twitter.com/oss_security/status/2030574831373070392 · Publicação no Twitter
• https://djangoproject.com/weblog/2026/mar/03/security-releases · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-25673 · Nota de Segurança
• https://redos.red-soft.ru/search/?iblock_id=&q=CVE-2026-25673 · Nota
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti-red-os-8-0/uyazvimost-python-django-cve-2026-25673-8.0 · Nota
• https://groups.google.com/g/django-announce · Nota