djangodocs

Django 5.2
日本語
Documentation contents

セキュリティ上の問題のアーカイブ

Django の開発チームは、Django のセキュリティポリシー にしたがって、セキュリティに関わる問題を、責任を持って積極的に公表しています。

この活動の一部として、修正・公開した問題の履歴リストをメンテナンスしています。以下のリストには、各問題に対して、日付、短い説明、もし存在すれば CVE identifier 、影響を受けるバージョン、完全な情報開示ページへのリンク、適切なパッチへのリンクが記載されています。

これらの情報に関する重要な注意書き

  • 影響を受けるバージョンのリストには、情報公開時点での stable、security-supported リリースのバージョンのみが記載されています。つまり、(セキュリティサポートが切れた) 古いバージョンや pre リリース (alpha/beta/RC) 状態のバージョンは、公開時点で影響を受ける場合にも、リストに書かれていない可能性があるということです。

  • Django プロジェクトは、不適切な設定や Django 自身以外の問題から発生する可能性のあるセキュリティ問題を指摘するセキュリティ勧告を発行することがあります。このような勧告の中には CVE を取得しているものもあります。そのような場合、 ここにリストアップされますが、パッチやリリースを伴わないため、説明、開示、CVE のみがリストアップされます。

Djangoのセキュリティプロセスの管理下にある問題

すべてのセキュリティ問題は、Django のセキュリティプロセスの下で対処されています。これらは以下にリストされています。

August 4, 2026 - CVE 2026-15307

Server-side file-write and request forgery via spatial lookups. Full description

August 4, 2026 - CVE 2026-15337

Potential denial-of-service vulnerability in check_for_language(). Full description

August 4, 2026 - CVE 2026-15830

Potential denial-of-service vulnerability via nested geometry collections. Full description

August 4, 2026 - CVE 2026-15920

Potential cross-site scripting via URLField values in the admin. Full description

July 7, 2026 - CVE 2026-48588

Potential exposure of private data via cached Set-Cookie response. Full description

July 7, 2026 - CVE 2026-53877

Heap buffer over-read in GDALRaster. Full description

July 7, 2026 - CVE 2026-53878

Header injection possibility since DomainNameValidator accepted newlines in input. Full description

June 3, 2026 - CVE 2026-6873

Signed cookie salt namespace collision in django.http.HttpRequest.get_signed_cookie. Full description

June 3, 2026 - CVE 2026-7666

Potential unencrypted email transmission via STARTTLS in the SMTP backend. Full description

June 3, 2026 - CVE 2026-8404

Potential exposure of private data via case-sensitive Cache-Control directives in UpdateCacheMiddleware. Full description

June 3, 2026 - CVE 2026-35193

Potential exposure of private data via missing Vary: Authorization in UpdateCacheMiddleware. Full description

June 3, 2026 - CVE 2026-48587

Potential exposure of private data via whitespace padding in Vary header. Full description

May 5, 2026 - CVE 2026-5766

Potential denial-of-service vulnerability in ASGI requests via file upload limit bypass. Full description

May 5, 2026 - CVE 2026-35192

Session fixation via public cached pages and SESSION_SAVE_EVERY_REQUEST. Full description

May 5, 2026 - CVE 2026-6907

Potential exposure of private data due to incorrect handling of Vary: * in UpdateCacheMiddleware. Full description

April 7, 2026 - CVE 2026-3902

ASGI header spoofing via underscore/hyphen conflation. Full description

April 7, 2026 - CVE 2026-4277

Privilege abuse in GenericInlineModelAdmin. Full description

April 7, 2026 - CVE 2026-4292

Privilege abuse in ModelAdmin.list_editable. Full description

April 7, 2026 - CVE 2026-33033

Potential denial-of-service vulnerability in MultiPartParser via base64-encoded file upload. Full description

April 7, 2026 - CVE 2026-33034

Potential denial-of-service vulnerability in ASGI requests via memory upload limit bypass. Full description

March 3, 2026 - CVE 2026-25673

Potential denial-of-service vulnerability in URLField via Unicode normalization on Windows. Full description

March 3, 2026 - CVE 2026-25674

Potential incorrect permissions on newly created file system objects. Full description

February 3, 2026 - CVE 2025-13473

Username enumeration through timing difference in mod_wsgi authentication handler. Full description

February 3, 2026 - CVE 2025-14550

Potential denial-of-service vulnerability via repeated headers when using ASGI. Full description

February 3, 2026 - CVE 2026-1207

Potential SQL injection via raster lookups on PostGIS. Full description

February 3, 2026 - CVE 2026-1285

Potential denial-of-service vulnerability in django.utils.text.Truncator HTML methods. Full description

February 3, 2026 - CVE 2026-1287

Potential SQL injection in column aliases via control characters. Full description

February 3, 2026 - CVE 2026-1312

Potential SQL injection via QuerySet.order_by and FilteredRelation. Full description

December 2, 2025 - CVE 2025-13372

Potential SQL injection in FilteredRelation column aliases on PostgreSQL. Full description

December 2, 2025 - CVE 2025-64460

Potential denial-of-service vulnerability in XML serializer text extraction. Full description

November 5, 2025 - CVE 2025-64458

Potential denial-of-service vulnerability in HttpResponseRedirect and HttpResponsePermanentRedirect on Windows. Full description

November 5, 2025 - CVE 2025-64459

Potential SQL injection via _connector keyword argument in QuerySet and Q objects. Full description

2025年10月1日 - CVE 2025-59681

MySQL および MariaDB における QuerySet.annotate(), alias(), aggregate(), および extra() 利用時の SQL インジェクションの可能性。 詳細はこちら

2025年10月1日 - CVE 2025-59682

archive.extract() を介した部分的なディレクトリとラバーサルの可能性。 詳細はこちら

2025年9月3日 - CVE 2025-57833

FilteredRelation の列エイリアスにおける潜在的な SQL インジェクション。 詳細はこちら

2025年6月4日 - CVE 2025-48432

エスケープされていないリクエストのパスを通じた潜在的なログインジェクション。 詳細はこちら

2025年6月10日に公開された新しいパッチリリースで追加のハードニングが行われました。 詳細はこちら

2025年5月7日 - CVE 2025-32873

strip_tags() における DoS 攻撃の可能性。 詳細はこちら

2025年4月2日 - CVE 2025-27556

Windows における、 LoginView 、 LogoutView および set_language() での潜在的な DoS 攻撃の脆弱性。 詳細はこちら

2025年3月6日 - CVE 2025-26699

django.utils.text.wrap() における DoS 攻撃の可能性。 詳細はこちら

2025年2月14日 - CVE 2024-56374

IPv6 検証における潜在的な DoS 攻撃の脆弱性。 詳細はこちら

2024年12月4日 - CVE 2024-53907

django.utils.html.strip_tags() における Dos 攻撃の可能性。 詳細はこちら

2024年12月4日 - CVE 2024-53908

Potential SQL injection in HasKey(lhs, rhs) on Oracle. Full description

2024年9月3日 - CVE 2024-45231

パスワードリセット時のレスポンスステータスによるユーザーのメールアドレス列挙の可能性。 詳細はこちら

2024年9月3日 - CVE 2024-45230

django.utils.html.urlize() におけるサービス拒否（DoS）の脆弱性の可能性。 詳細はこちら

2024年8月6日 - CVE 2024-42005

QuerySet.values() および values_list() におけるSQLインジェクションの可能性。 詳細はこちら

2024年8月6日 - CVE 2024-41991

django.utils.html.urlize() および AdminURLFieldWidget におけるサービス拒否（DoS）の脆弱性の可能性。 詳細はこちら

2024年8月6日 - CVE 2024-41990

django.utils.html.urlize() におけるサービス拒否（DoS）の脆弱性の可能性。 詳細はこちら

2024年8月6日 - CVE 2024-41989

django.utils.numberformat.floatformat() におけるメモリ枯渇の可能性。 詳細はこちら

2024年7月9日 - CVE 2024-39614

django.utils.translation.get_supported_language_variant() におけるサービス拒否（DoS）の可能性。 詳細はこちら

2024年7月9日 - CVE 2024-39330

django.core.files.storage.Storage.save() におけるディレクトリトラバーサルの可能性。 詳細はこちら

2024年7月9日 - CVE 2024-39329

使用不可のパスワードを持つユーザーに対するタイミング差によるユーザー名の列挙の可能性。 詳細はこちら

2024年7月9日 - CVE 2024-38875

django.utils.html.urlize() におけるサービス拒否（DoS）の可能性。詳細はこちら

2024年3月4日 - CVE 2024-27351

django.utils.text.Truncator.words() における潜在的な正規表現によるサービス拒否の可能性。詳細な説明はこちら

2024年2月6日 - CVE 2024-24680

intcomma テンプレートフィルタにおける潜在的な DoS。完全な説明

2023年11月1日 - CVE 2023-46695

Windows 上の UsernameField で潜在的なサービス拒否攻撃 (DoS) の脆弱性。 完全な説明

2023年10月4日 - CVE 2023-43665

django.utils.text.Truncator におけるサービス拒否 (DoS) の可能性。 詳細説明

2023年9月4日 - CVE 2023-41164

django.utils.encoding.uri_to_iri() におけるサービス拒否 (DoS) の潜在的脆弱性。 完全な説明

2023年7月3日 - CVE 2023-36053

EmailValidator/URLValidator における潜在的な正規表現によるサービス拒否攻撃 (ReDoS) の脆弱性。 完全な説明

2023年5月3日 - CVE 2023-31047

複数のファイルを1つのフォームフィールドを使用してアップロードする際の検証の回避の可能性。 完全な説明

2023年2月14日 - CVE 2023-24580

ファイルアップロードにおける潜在的な Dos 攻撃の脆弱性。 詳細はこちら

2023年2月1日 - CVE 2023-23969

Accept-Language ヘッダーを通じた Dos 攻撃の可能性。 詳細はこちら

2022年10月4日 - CVE 2022-41323

国際化対応した URL における潜在的な Dos 攻撃の脆弱性。 詳細はこちら

2022年8月3日 - CVE 2022-36359

Potential reflected file download vulnerability in FileResponse. Full description

2022年7月4日 - CVE 2022-34265

Potential SQL injection via Trunc(kind) and Extract(lookup_name) arguments. Full description

2022年8月11日 - CVE 2022-28346

Potential SQL injection in QuerySet.annotate(), aggregate(), and extra(). Full description

2022年8月11日 - CVE 2022-28347

Potential SQL injection via QuerySet.explain(**options) on PostgreSQL. Full description

2022年2月1日 - CVE 2022-22818

Possible XSS via {% debug %} template tag. Full description

影響を受けるバージョン

2022年2月1日 - CVE 2022-23833

Denial-of-service possibility in file uploads. Full description

影響を受けるバージョン

2022年1月4日 - CVE 2021-45452

Potential directory-traversal via Storage.save(). Full description

影響を受けるバージョン

2022年1月4日 - CVE 2021-45116

Potential information disclosure in dictsort template filter. Full description

影響を受けるバージョン

2022年1月4日 - CVE 2021-45115

Denial-of-service possibility in UserAttributeSimilarityValidator. Full description

影響を受けるバージョン

December 7, 2021 - CVE 2021-44420

Potential bypass of an upstream access control based on URL paths. Full description

影響を受けるバージョン

July 1, 2021 - CVE 2021-35042

Potential SQL injection via unsanitized QuerySet.order_by() input. Full description

影響を受けるバージョン

June 2, 2021 - CVE 2021-33203

Potential directory traversal via admindocs. Full description

影響を受けるバージョン

June 2, 2021 - CVE 2021-33571

Possible indeterminate SSRF, RFI, and LFI attacks since validators accepted leading zeros in IPv4 addresses. Full description

影響を受けるバージョン

May 6, 2021 - CVE 2021-32052

Header injection possibility since URLValidator accepted newlines in input on Python 3.9.5+. Full description

影響を受けるバージョン

May 4, 2021 - CVE 2021-31542

Potential directory-traversal via uploaded files. Full description

影響を受けるバージョン

April 6, 2021 - CVE 2021-28658

Potential directory-traversal via uploaded files. Full description

影響を受けるバージョン

February 19, 2021 - CVE 2021-23336

Web cache poisoning via django.utils.http.limited_parse_qsl(). Full description

影響を受けるバージョン

February 1, 2021 - CVE 2021-3281

Potential directory-traversal via archive.extract(). Full description

影響を受けるバージョン

September 1, 2020 - CVE 2020-24584

Permission escalation in intermediate-level directories of the file system cache on Python 3.7+. Full description

影響を受けるバージョン

September 1, 2020 - CVE 2020-24583

Incorrect permissions on intermediate-level directories on Python 3.7+. Full description

影響を受けるバージョン

June 3, 2020 - CVE 2020-13596

Possible XSS via admin ForeignKeyRawIdWidget. Full description

影響を受けるバージョン

June 3, 2020 - CVE 2020-13254

Potential data leakage via malformed memcached keys. Full description

影響を受けるバージョン

March 4, 2020 - CVE 2020-9402

Potential SQL injection via tolerance parameter in GIS functions and aggregates on Oracle. Full description

影響を受けるバージョン

2020年2月3日 - CVE 2020-7471

StringAgg(delimiter) を通じた潜在的 SQL インジェクション. ` <https://www.djangoproject.com/weblog/2020/feb/03/security-releases/>`__

影響を受けるバージョン

December 18, 2019 - CVE 2019-19844

Potential account hijack via password reset form. Full description

影響を受けるバージョン

December 2, 2019 - CVE 2019-19118

Privilege escalation in the Django admin. Full description

影響を受けるバージョン

2019年8月1日 - CVE 2019-14235

django.utils.encoding.uri_to_iri() におけるメモリ枯渇の可能性。詳細な説明

影響を受けるバージョン

August 1, 2019 - CVE 2019-14234

SQL injection possibility in key and index lookups for JSONField/HStoreField. Full description

影響を受けるバージョン

August 1, 2019 - CVE 2019-14233

Denial-of-service possibility in strip_tags(). Full description

影響を受けるバージョン

August 1, 2019 - CVE 2019-14232

Denial-of-service possibility in django.utils.text.Truncator. Full description

影響を受けるバージョン

July 1, 2019 - CVE 2019-12781

Incorrect HTTP detection with reverse-proxy connecting via HTTPS. Full description

影響を受けるバージョン

June 3, 2019 - CVE 2019-12308

XSS via "Current URL" link generated by AdminURLFieldWidget. Full description

影響を受けるバージョン

June 3, 2019 - CVE 2019-11358

Prototype pollution in bundled jQuery. Full description

影響を受けるバージョン

2019年2月11日 - CVE 2019-6975

django.utils.numberformat.format() におけるメモリ枯渇の問題。詳細な説明

影響を受けるバージョン

2019年1月4日 - CVE 2019-3498

デフォルトの 404 ページにおけるコンテンツスプーフィングの可能性。詳細な説明

影響を受けるバージョン

2018年10月1日 - CVE 2018-16984

Password hash disclosure to 「表示のみ (view only)」の admin ユーザーにパスワードのハッシュが意図せず公開されてしまう問題。詳細な説明

影響を受けるバージョン

2018年8月1日 - CVE 2018-14574

CommonMiddleware におけるオープンリダイレクトの可能性。詳細な説明

影響を受けるバージョン

2018年3月6日 - CVE 2018-7537

truncatechars_html と truncatewords_html テンプレートフィルタにおけるDoS 攻撃の可能性。 詳細な説明

影響を受けるバージョン

2018年3月6日 - CVE 2018-7536

urlize と urlizetrunc テンプレートフィルタにおける DoS 攻撃の可能性。詳細な説明

影響を受けるバージョン

2018年2月1日 - CVE 2018-6188

AuthenticationForm における情報漏えい問題。詳細な説明

影響を受けるバージョン

2017年9月5日 - CVE 2017-12794

Possible XSS in traceback section of technical 500 debug page. Full description

影響を受けるバージョン

April 4, 2017 - CVE 2017-7234

Open redirect vulnerability in django.views.static.serve(). Full description

影響を受けるバージョン

April 4, 2017 - CVE 2017-7233

Open redirect and possible XSS attack via user-supplied numeric redirect URLs. Full description

影響を受けるバージョン

November 1, 2016 - CVE 2016-9014

DNS rebinding vulnerability when DEBUG=True. Full description

影響を受けるバージョン

November 1, 2016 - CVE 2016-9013

User with hardcoded password created when running tests on Oracle. Full description

影響を受けるバージョン

September 26, 2016 - CVE 2016-7401

CSRF protection bypass on a site with Google Analytics. Full description

影響を受けるバージョン

July 18, 2016 - CVE 2016-6186

XSS in admin's add/change related popup. Full description

影響を受けるバージョン

March 1, 2016 - CVE 2016-2513

User enumeration through timing difference on password hasher work factor upgrade. Full description

影響を受けるバージョン

March 1, 2016 - CVE 2016-2512

Malicious redirect and possible XSS attack via user-supplied redirect URLs containing basic auth. Full description

影響を受けるバージョン

February 1, 2016 - CVE 2016-2048

User with "change" but not "add" permission can create objects for ModelAdmin’s with save_as=True. Full description

影響を受けるバージョン

November 24, 2015 - CVE 2015-8213

Settings leak possibility in date template filter. Full description

影響を受けるバージョン

August 18, 2015 - CVE 2015-5963 / CVE 2015-5964

Denial-of-service possibility in logout() view by filling session store. Full description

影響を受けるバージョン

July 8, 2015 - CVE 2015-5145

Denial-of-service possibility in URL validation. Full description

影響を受けるバージョン

July 8, 2015 - CVE 2015-5144

Header injection possibility since validators accept newlines in input. Full description

影響を受けるバージョン

July 8, 2015 - CVE 2015-5143

Denial-of-service possibility by filling session store. Full description

影響を受けるバージョン

May 20, 2015 - CVE 2015-3982

Fixed session flushing in the cached_db backend. Full description

影響を受けるバージョン

March 18, 2015 - CVE 2015-2317

Mitigated possible XSS attack via user-supplied redirect URLs. Full description

影響を受けるバージョン

March 18, 2015 - CVE 2015-2316

Denial-of-service possibility with strip_tags(). Full description

影響を受けるバージョン

March 9, 2015 - CVE 2015-2241

XSS attack via properties in ModelAdmin.readonly_fields. Full description

影響を受けるバージョン

January 13, 2015 - CVE 2015-0222

Database denial-of-service with ModelMultipleChoiceField. Full description

影響を受けるバージョン

January 13, 2015 - CVE 2015-0221

Denial-of-service attack against django.views.static.serve(). Full description

影響を受けるバージョン

January 13, 2015 - CVE 2015-0220

Mitigated possible XSS attack via user-supplied redirect URLs. Full description

影響を受けるバージョン

January 13, 2015 - CVE 2015-0219

WSGI header spoofing via underscore/dash conflation. Full description

影響を受けるバージョン

August 20, 2014 - CVE 2014-0483

Data leakage via querystring manipulation in admin. Full description

影響を受けるバージョン

August 20, 2014 - CVE 2014-0482

RemoteUserMiddleware session hijacking. Full description

影響を受けるバージョン

August 20, 2014 - CVE 2014-0481

File upload denial of service. Full description

影響を受けるバージョン

August 20, 2014 - CVE 2014-0480

reverse() can generate URLs pointing to other hosts. Full description

影響を受けるバージョン

May 18, 2014 - CVE 2014-3730

Malformed URLs from user input incorrectly validated. Full description

影響を受けるバージョン

May 18, 2014 - CVE 2014-1418

Caches may be allowed to store and serve private data. Full description

影響を受けるバージョン

April 21, 2014 - CVE 2014-0474

MySQL typecasting causes unexpected query results. Full description

影響を受けるバージョン

April 21, 2014 - CVE 2014-0473

Caching of anonymous pages could reveal CSRF token. Full description

影響を受けるバージョン

April 21, 2014 - CVE 2014-0472

Unexpected code execution using reverse(). Full description

影響を受けるバージョン

September 14, 2013 - CVE 2013-1443

Denial-of-service via large passwords. Full description

影響を受けるバージョン

September 10, 2013 - CVE 2013-4315

Directory-traversal via ssi template tag. Full description

影響を受けるバージョン

August 13, 2013 - CVE 2013-6044

Possible XSS via unvalidated URL redirect schemes. Full description

影響を受けるバージョン

August 13, 2013 - CVE 2013-4249

XSS via admin trusting URLField values. Full description

影響を受けるバージョン

February 19, 2013 - CVE 2013-0306

Denial-of-service via formset max_num bypass. Full description

影響を受けるバージョン

February 19, 2013 - CVE 2013-0305

Information leakage via admin history log. Full description

影響を受けるバージョン

February 19, 2013 - CVE 2013-1664 / CVE 2013-1665

Entity-based attacks against Python XML libraries. Full description

影響を受けるバージョン

February 19, 2013 - No CVE

Additional hardening of Host header handling. Full description

影響を受けるバージョン

December 10, 2012 - No CVE 2

Additional hardening of redirect validation. Full description

影響を受けるバージョン

December 10, 2012 - No CVE 1

Additional hardening of Host header handling. Full description

影響を受けるバージョン

October 17, 2012 - CVE 2012-4520

Host header poisoning. Full description

影響を受けるバージョン

July 30, 2012 - CVE 2012-3444

Denial-of-service via large image files. Full description

影響を受けるバージョン

July 30, 2012 - CVE 2012-3443

Denial-of-service via compressed image files. Full description

影響を受けるバージョン

July 30, 2012 - CVE 2012-3442

XSS via failure to validate redirect scheme. Full description

影響を受けるバージョン

September 9, 2011 - CVE 2011-4140

Potential CSRF via Host header. Full description

影響を受けるバージョン

This notification was an advisory only, so no patches were issued.

  • Django 1.2

  • Django 1.3

September 9, 2011 - CVE 2011-4139

Host header cache poisoning. Full description

影響を受けるバージョン

September 9, 2011 - CVE 2011-4138

Information leakage/arbitrary request issuance via URLField.verify_exists. Full description

影響を受けるバージョン

September 9, 2011 - CVE 2011-4137

Denial-of-service via URLField.verify_exists. Full description

影響を受けるバージョン

September 9, 2011 - CVE 2011-4136

Session manipulation when using memory-cache-backed session. Full description

影響を受けるバージョン

February 8, 2011 - CVE 2011-0698

Directory-traversal on Windows via incorrect path-separator handling. Full description

影響を受けるバージョン

February 8, 2011 - CVE 2011-0697

XSS via unsanitized names of uploaded files. Full description

影響を受けるバージョン

February 8, 2011 - CVE 2011-0696

CSRF via forged HTTP headers. Full description

影響を受けるバージョン

December 22, 2010 - CVE 2010-4535

Denial-of-service in password-reset mechanism. Full description

影響を受けるバージョン

December 22, 2010 - CVE 2010-4534

Information leakage in administrative interface. Full description

影響を受けるバージョン

September 8, 2010 - CVE 2010-3082

XSS via trusting unsafe cookie value. Full description

影響を受けるバージョン

2009年10月9日 - CVE 2009-3695

Denial-of-service via pathological regular expression performance. Full description

影響を受けるバージョン

July 28, 2009 - CVE 2009-2659

Directory-traversal in development server media handler. Full description

影響を受けるバージョン

September 2, 2008 - CVE 2008-3909

CSRF via preservation of POST data during admin login. Full description

影響を受けるバージョン

May 14, 2008 - CVE 2008-2302

XSS via admin login redirect. Full description

影響を受けるバージョン

October 26, 2007 - CVE 2007-5712

Denial-of-service via arbitrarily-large Accept-Language header. Full description

影響を受けるバージョン

Django のセキュリティプロセスで解決される前の問題

いくつかのセキュリティ問題については、Django が正式にセキュリティ問題の処理プロセスを確立する以前に修正されました。そのような修正に対しては、新しいリリースが出されたときに修正された CVE が記載されていないことがあります。

January 21, 2007 - CVE 2007-0405

Apparent "caching" of authenticated user. Full description

影響を受けるバージョン

2006年8月16日 - CVE 2007-0404

翻訳フレームワークにおけるファイル名の検証問題。 詳細な説明

影響を受けるバージョン

This page as Markdown JSON

Edit this page on GitHub Official version