Veille sécuritéBackend & données
P4Faible
Un défaut de masquage dans `display_for_field()` pouvait révéler des empreintes de mot de passe dans le formulaire de modification en lecture seule de certains modèles utilisateur. Un membre du personnel authentifié disposant uniquement de la permission de consultation sur le modèle pouvait ainsi obtenir ces empreintes.
Django
IdentifiantCVE-2026-113733
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifDjango 6.1.3, 6.0.10
Source : NVD — CVE-2026-113733
Analyse technique
Le défaut concerne les champs de mot de passe de modèles utilisateur autres que `AUTH_USER_MODEL`, ainsi que ceux hérités d’un modèle parent concret via l’héritage multi-table.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-03T16:17:19.397Z, dans la période demandée. La vulnérabilité est décrite dans la source comme un défaut de divulgation, et non comme une simple modification administrative.
ImpactDivulgation d’empreintes de mot de passe à des membres du personnel authentifiés disposant de la seule permission de consultation sur le modèle concerné.
Versions affectéesDjango 6.1 avant 6.1.3 et 6.0 avant 6.0.10. Les versions antérieures non prises en charge, notamment 5.1.x, 5.0.x et 4.2.x, n’ont pas été évaluées et pourraient également être touchées.
Version corrigéeDjango 6.1.3, 6.0.10
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.1
Publication2026-11-03T16:17:19.397Z
Mise à jour2026-11-03T19:17:54.060Z
Détection / vérification
Examiner les modèles Django concernés et vérifier que leurs formulaires de modification en lecture seule n’affichent pas les empreintes de mot de passe.
Action recommandée
Mettre à niveau vers Django 6.1.3 ou 6.0.10, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).