Django : accès réseau ou fichiers locaux via des références spatiales

Veille sécuritéBackend & données

P4Moyenne

L’analyse de chaînes de référence spatiale par GDAL pouvait autoriser l’accès réseau ou la lecture de fichiers locaux via des entrées contrôlées par un attaquant. Mettre à niveau vers une version corrigée ; le projet recommande GDAL 3.9 ou ultérieur pour une protection complète de ce cas.

IdentifiantCVE-2026-114582

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifDjango 6.1.3, 6.0.10, 5.2.19

Source : CVE-2026-114582 — NVD

Analyse technique

Le défaut concerne SpatialReference et des méthodes ou accesseurs associés. Selon l’avis Django, les références sous forme d’entier sont à privilégier si l’entrée n’est pas fiable ; sur GDAL antérieur à 3.9, limiter les chaînes à une liste autorisée.

Impact, versions et correctif

Événement datéL’avis de sécurité Django date l’annonce et la correction du 3 novembre 2026, dans la période demandée. Aucun candidat fourni ne portait cette CVE ; elle a été trouvée pendant la recherche dédiée.

ImpactSelon l’entrée traitée et les méthodes concernées, un attaquant peut provoquer des requêtes serveur ou la lecture de fichiers locaux.

Versions affectéesDjango 6.1 avant 6.1.3 ; 6.0 avant 6.0.10 ; 5.2 avant 5.2.19. Les branches antérieures non prises en charge n’ont pas été évaluées et peuvent également être concernées.

Version corrigéeDjango 6.1.3, 6.0.10, 5.2.19

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.9

Publication2026-11-03

Mise à jour2026-11-03T19:17:54.530Z

Détection / vérification

Vérifier l’usage des fonctionnalités GDAL de référence spatiale et de transformation avec des chaînes provenant d’entrées non fiables.

Action recommandée

Mettre à niveau Django vers 6.1.3, 6.0.10 ou 5.2.19. Utiliser GDAL 3.9 ou ultérieur pour une protection complète de l’analyse de chaînes ; préférer les SRID entiers pour les entrées non fiables.

Sources

CVE-2026-114582 — NVD

Priorisation DFS : P4 · 1 source(s).