# Django 6.0.7 ドキュメント

# セキュリティ上の問題のアーカイブ

Django の開発チームは、Django のセキュリティポリシー にしたがって、セキュリティに関わる問題を、責任を持って積極的に公表しています。

この活動の一部として、修正・公開した問題の履歴リストをメンテナンスしています。以下のリストには、各問題に対して、日付、短い説明、もし存在すれば CVE identifier 、影響を受けるバージョン、完全な情報開示ページへのリンク、適切なパッチへのリンクが記載されています。

これらの情報に関する重要な注意書き

- 影響を受けるバージョンのリストには、情報公開時点での stable、security-supported リリースのバージョンのみが記載されています。つまり、(セキュリティサポートが切れた) 古いバージョンや pre リリース (alpha/beta/RC) 状態のバージョンは、公開時点で影響を受ける場合にも、リストに書かれていない可能性があるということです。

- Django プロジェクトは、不適切な設定や Django 自身以外の問題から発生する可能性のあるセキュリティ問題を指摘するセキュリティ勧告を発行することがあります。このような勧告の中には CVE を取得しているものもあります。そのような場合、 ここにリストアップされますが、パッチやリリースを伴わないため、説明、開示、CVE のみがリストアップされます。

## Djangoのセキュリティプロセスの管理下にある問題

すべてのセキュリティ問題は、Django のセキュリティプロセスの下で対処されています。これらは以下にリストされています。

### August 4, 2026 - CVE 2026-15307

Server-side file-write and request forgery via spatial lookups. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### August 4, 2026 - CVE 2026-15337

Potential denial-of-service vulnerability in `check_for_language()`. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### August 4, 2026 - CVE 2026-15830

Potential denial-of-service vulnerability via nested geometry collections. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### August 4, 2026 - CVE 2026-15920

Potential cross-site scripting via `URLField` values in the admin. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### July 7, 2026 - CVE 2026-48588

Potential exposure of private data via cached `Set-Cookie` response. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### July 7, 2026 - CVE 2026-53877

Heap buffer over-read in `GDALRaster`. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### July 7, 2026 - CVE 2026-53878

Header injection possibility since `DomainNameValidator` accepted newlines in input. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### June 3, 2026 - CVE 2026-6873

Signed cookie salt namespace collision in `django.http.HttpRequest.get_signed_cookie`. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### June 3, 2026 - CVE 2026-7666

Potential unencrypted email transmission via `STARTTLS` in the SMTP backend. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### June 3, 2026 - CVE 2026-8404

Potential exposure of private data via case-sensitive `Cache-Control` directives in `UpdateCacheMiddleware`. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### June 3, 2026 - CVE 2026-35193

Potential exposure of private data via missing `Vary: Authorization` in `UpdateCacheMiddleware`. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### June 3, 2026 - CVE 2026-48587

Potential exposure of private data via whitespace padding in `Vary` header. Full description

- Django 6.1 (patch)

- Django 6.0 (patch)

- Django 5.2 (patch)

### May 5, 2026 - CVE 2026-5766

Potential denial-of-service vulnerability in ASGI requests via file upload limit bypass. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

### May 5, 2026 - CVE 2026-35192

Session fixation via public cached pages and `SESSION_SAVE_EVERY_REQUEST`. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

### May 5, 2026 - CVE 2026-6907

Potential exposure of private data due to incorrect handling of `Vary: *` in `UpdateCacheMiddleware`. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

### April 7, 2026 - CVE 2026-3902

ASGI header spoofing via underscore/hyphen conflation. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### April 7, 2026 - CVE 2026-4277

Privilege abuse in `GenericInlineModelAdmin`. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### April 7, 2026 - CVE 2026-4292

Privilege abuse in `ModelAdmin.list_editable`. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### April 7, 2026 - CVE 2026-33033

Potential denial-of-service vulnerability in `MultiPartParser` via base64-encoded file upload. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### April 7, 2026 - CVE 2026-33034

Potential denial-of-service vulnerability in ASGI requests via memory upload limit bypass. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### March 3, 2026 - CVE 2026-25673

Potential denial-of-service vulnerability in `URLField` via Unicode normalization on Windows. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### March 3, 2026 - CVE 2026-25674

Potential incorrect permissions on newly created file system objects. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### February 3, 2026 - CVE 2025-13473

Username enumeration through timing difference in mod_wsgi authentication handler. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### February 3, 2026 - CVE 2025-14550

Potential denial-of-service vulnerability via repeated headers when using ASGI. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### February 3, 2026 - CVE 2026-1207

Potential SQL injection via raster lookups on PostGIS. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### February 3, 2026 - CVE 2026-1285

Potential denial-of-service vulnerability in `django.utils.text.Truncator` HTML methods. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### February 3, 2026 - CVE 2026-1287

Potential SQL injection in column aliases via control characters. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### February 3, 2026 - CVE 2026-1312

Potential SQL injection via `QuerySet.order_by` and `FilteredRelation`. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 4.2 (patch)

### December 2, 2025 - CVE 2025-13372

Potential SQL injection in `FilteredRelation` column aliases on PostgreSQL. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 5.1 (patch)

- Django 4.2 (patch)

### December 2, 2025 - CVE 2025-64460

Potential denial-of-service vulnerability in XML serializer text extraction. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 5.1 (patch)

- Django 4.2 (patch)

### November 5, 2025 - CVE 2025-64458

Potential denial-of-service vulnerability in `HttpResponseRedirect` and `HttpResponsePermanentRedirect` on Windows. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 5.1 (patch)

- Django 4.2 (patch)

### November 5, 2025 - CVE 2025-64459

Potential SQL injection via `_connector` keyword argument in `QuerySet` and `Q` objects. Full description

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 5.1 (patch)

- Django 4.2 (patch)

### 2025年10月1日 - CVE 2025-59681

MySQL および MariaDB における `QuerySet.annotate()`, `alias()`, `aggregate()`, および `extra()` 利用時の SQL インジェクションの可能性。 詳細はこちら

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 5.1 (patch)

- Django 4.2 (patch)

### 2025年10月1日 - CVE 2025-59682

`archive.extract()` を介した部分的なディレクトリとラバーサルの可能性。 詳細はこちら

- Django 6.0 (patch)

- Django 5.2 (patch)

- Django 5.1 (patch)

- Django 4.2 (patch)

### 2025年9月3日 - CVE 2025-57833

`FilteredRelation` の列エイリアスにおける潜在的な SQL インジェクション。 詳細はこちら

- Django 5.2 (patch)

- Django 5.1 (patch)

- Django 4.2 (patch)

### 2025年6月4日 - CVE 2025-48432

エスケープされていないリクエストのパスを通じた潜在的なログインジェクション。 詳細はこちら

- Django 5.2 (patch)

- Django 5.1 (patch)

- Django 4.2 (patch)

2025年6月10日に公開された新しいパッチリリースで追加のハードニングが行われました。 詳細はこちら

- Django 5.2.3 (patch)

- Django 5.1.11 (patch)

- Django 4.2.23 (patch)

### 2025年5月7日 - CVE 2025-32873

`strip_tags()` における DoS 攻撃の可能性。 詳細はこちら

- Django 5.2 (patch)

- Django 5.1 (patch)

- Django 4.2 (patch)

### 2025年4月2日 - CVE 2025-27556

Windows における、 `LoginView` 、 `LogoutView` および `set_language()` での潜在的な DoS 攻撃の脆弱性。 詳細はこちら

- Django 5.1 (patch)

- Django 5.0 (patch)

### 2025年3月6日 - CVE 2025-26699

`django.utils.text.wrap()` における DoS 攻撃の可能性。 詳細はこちら

- Django 5.1 (patch)

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2025年2月14日 - CVE 2024-56374

IPv6 検証における潜在的な DoS 攻撃の脆弱性。 詳細はこちら

- Django 5.1 (patch)

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年12月4日 - CVE 2024-53907

`django.utils.html.strip_tags()` における Dos 攻撃の可能性。 詳細はこちら

- Django 5.1 (patch)

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年12月4日 - CVE 2024-53908

Potential SQL injection in `HasKey(lhs, rhs)` on Oracle. Full description

- Django 5.1 (patch)

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年9月3日 - CVE 2024-45231

パスワードリセット時のレスポンスステータスによるユーザーのメールアドレス列挙の可能性。 詳細はこちら

- Django 5.1 (patch)

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年9月3日 - CVE 2024-45230

`django.utils.html.urlize()` におけるサービス拒否（DoS）の脆弱性の可能性。 詳細はこちら

- Django 5.1 (patch)

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年8月6日 - CVE 2024-42005

`QuerySet.values()` および `values_list()` におけるSQLインジェクションの可能性。 詳細はこちら

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年8月6日 - CVE 2024-41991

`django.utils.html.urlize()` および `AdminURLFieldWidget` におけるサービス拒否（DoS）の脆弱性の可能性。 詳細はこちら

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年8月6日 - CVE 2024-41990

`django.utils.html.urlize()` におけるサービス拒否（DoS）の脆弱性の可能性。 詳細はこちら

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年8月6日 - CVE 2024-41989

`django.utils.numberformat.floatformat()` におけるメモリ枯渇の可能性。 詳細はこちら

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年7月9日 - CVE 2024-39614

`django.utils.translation.get_supported_language_variant()` におけるサービス拒否（DoS）の可能性。 詳細はこちら

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年7月9日 - CVE 2024-39330

`django.core.files.storage.Storage.save()` におけるディレクトリトラバーサルの可能性。 詳細はこちら

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年7月9日 - CVE 2024-39329

使用不可のパスワードを持つユーザーに対するタイミング差によるユーザー名の列挙の可能性。 詳細はこちら

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年7月9日 - CVE 2024-38875

`django.utils.html.urlize()` におけるサービス拒否（DoS）の可能性。詳細はこちら

- Django 5.0 (patch)

- Django 4.2 (patch)

### 2024年3月4日 - CVE 2024-27351

`django.utils.text.Truncator.words()` における潜在的な正規表現によるサービス拒否の可能性。詳細な説明はこちら

- Django 5.0 (patch)

- Django 4.2 (patch)

- Django 3.2 (patch)

### 2024年2月6日 - CVE 2024-24680

`intcomma` テンプレートフィルタにおける潜在的な DoS。完全な説明

- Django 5.0 (patch)

- Django 4.2 (patch)

- Django 3.2 (patch)

### 2023年11月1日 - CVE 2023-46695

Windows 上の `UsernameField` で潜在的なサービス拒否攻撃 (DoS) の脆弱性。 完全な説明

- Django 4.2 (patch)

- Django 4.1 (patch)

- Django 3.2 (patch)

### 2023年10月4日 - CVE 2023-43665

`django.utils.text.Truncator` におけるサービス拒否 (DoS) の可能性。 詳細説明

- Django 4.2 (patch)

- Django 4.1 (patch)

- Django 3.2 (patch)

### 2023年9月4日 - CVE 2023-41164

`django.utils.encoding.uri_to_iri()` におけるサービス拒否 (DoS) の潜在的脆弱性。 完全な説明

- Django 4.2 (patch)

- Django 4.1 (patch)

- Django 3.2 (patch)

### 2023年7月3日 - CVE 2023-36053

`EmailValidator`/`URLValidator` における潜在的な正規表現によるサービス拒否攻撃 (ReDoS) の脆弱性。 完全な説明

- Django 4.2 (patch)

- Django 4.1 (patch)

- Django 3.2 (patch)

### 2023年5月3日 - CVE 2023-31047

複数のファイルを1つのフォームフィールドを使用してアップロードする際の検証の回避の可能性。 完全な説明

- Django 4.2 (patch)

- Django 4.1 (patch)

- Django 3.2 (patch)

### 2023年2月14日 - CVE 2023-24580

ファイルアップロードにおける潜在的な Dos 攻撃の脆弱性。 詳細はこちら

- Django 4.1 (patch)

- Django 4.0 (patch)

- Django 3.2 (patch)

### 2023年2月1日 - CVE 2023-23969

`Accept-Language` ヘッダーを通じた Dos 攻撃の可能性。 詳細はこちら

- Django 4.1 (patch)

- Django 4.0 (patch)

- Django 3.2 (patch)

### 2022年10月4日 - CVE 2022-41323

国際化対応した URL における潜在的な Dos 攻撃の脆弱性。 詳細はこちら

- Django 4.1 (patch)

- Django 4.0 (patch)

- Django 3.2 (patch)

### 2022年8月3日 - CVE 2022-36359

Potential reflected file download vulnerability in FileResponse. Full description

- Django 4.0 (patch)

- Django 3.2 (patch)

### 2022年7月4日 - CVE 2022-34265

Potential SQL injection via `Trunc(kind)` and `Extract(lookup_name)` arguments. Full description

- Django 4.0 (patch)

- Django 3.2 (patch)

### 2022年8月11日 - CVE 2022-28346

Potential SQL injection in `QuerySet.annotate()`, `aggregate()`, and `extra()`. Full description

- Django 4.0 (patch)

- Django 3.2 (patch)

- Django 2.2 (patch)

### 2022年8月11日 - CVE 2022-28347

Potential SQL injection via `QuerySet.explain(**options)` on PostgreSQL. Full description

- Django 4.0 (patch)

- Django 3.2 (patch)

- Django 2.2 (patch)

### 2022年2月1日 - CVE 2022-22818

Possible XSS via `{% debug %}` template tag. Full description

#### 影響を受けるバージョン

- Django 4.0 (patch)

- Django 3.2 (patch)

- Django 2.2 (patch)

### 2022年2月1日 - CVE 2022-23833

Denial-of-service possibility in file uploads. Full description

#### 影響を受けるバージョン

- Django 4.0 (patch)

- Django 3.2 (patch)

- Django 2.2 (patch)

### 2022年1月4日 - CVE 2021-45452

Potential directory-traversal via `Storage.save()`. Full description

#### 影響を受けるバージョン

- Django 4.0 (patch)

- Django 3.2 (patch)

- Django 2.2 (patch)

### 2022年1月4日 - CVE 2021-45116

Potential information disclosure in `dictsort` template filter. Full description

#### 影響を受けるバージョン

- Django 4.0 (patch)

- Django 3.2 (patch)

- Django 2.2 (patch)

### 2022年1月4日 - CVE 2021-45115

Denial-of-service possibility in `UserAttributeSimilarityValidator`. Full description

#### 影響を受けるバージョン

- Django 4.0 (patch)

- Django 3.2 (patch)

- Django 2.2 (patch)

### December 7, 2021 - CVE 2021-44420

Potential bypass of an upstream access control based on URL paths. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)

- Django 3.1 (patch)

- Django 2.2 (patch)

### July 1, 2021 - CVE 2021-35042

Potential SQL injection via unsanitized `QuerySet.order_by()` input. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)

- Django 3.1 (patch)

### June 2, 2021 - CVE 2021-33203

Potential directory traversal via `admindocs`. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)

- Django 3.1 (patch)

- Django 2.2 (patch)

### June 2, 2021 - CVE 2021-33571

Possible indeterminate SSRF, RFI, and LFI attacks since validators accepted leading zeros in IPv4 addresses. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)

- Django 3.1 (patch)

- Django 2.2 (patch)

### May 6, 2021 - CVE 2021-32052

Header injection possibility since `URLValidator` accepted newlines in input on Python 3.9.5+. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)

- Django 3.1 (patch)

- Django 2.2 (patch)

### May 4, 2021 - CVE 2021-31542

Potential directory-traversal via uploaded files. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)

- Django 3.1 (patch)

- Django 2.2 (patch)

### April 6, 2021 - CVE 2021-28658

Potential directory-traversal via uploaded files. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)

- Django 3.1 (patch)

- Django 3.0 (patch)

- Django 2.2 (patch)

### February 19, 2021 - CVE 2021-23336

Web cache poisoning via `django.utils.http.limited_parse_qsl()`. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)

- Django 3.1 (patch)

- Django 3.0 (patch)

- Django 2.2 (patch)

### February 1, 2021 - CVE 2021-3281

Potential directory-traversal via `archive.extract()`. Full description

#### 影響を受けるバージョン

- Django 3.1 (patch)

- Django 3.0 (patch)

- Django 2.2 (patch)

### September 1, 2020 - CVE 2020-24584

Permission escalation in intermediate-level directories of the file system cache on Python 3.7+. Full description

#### 影響を受けるバージョン

- Django 3.1 (patch)

- Django 3.0 (patch)

- Django 2.2 (patch)

### September 1, 2020 - CVE 2020-24583

Incorrect permissions on intermediate-level directories on Python 3.7+. Full description

#### 影響を受けるバージョン

- Django 3.1 (patch)

- Django 3.0 (patch)

- Django 2.2 (patch)

### June 3, 2020 - CVE 2020-13596

Possible XSS via admin `ForeignKeyRawIdWidget`. Full description

#### 影響を受けるバージョン

- Django 3.0 (patch)

- Django 2.2 (patch)

### June 3, 2020 - CVE 2020-13254

Potential data leakage via malformed memcached keys. Full description

#### 影響を受けるバージョン

- Django 3.0 (patch)

- Django 2.2 (patch)

### March 4, 2020 - CVE 2020-9402

Potential SQL injection via `tolerance` parameter in GIS functions and aggregates on Oracle. Full description

#### 影響を受けるバージョン

- Django 3.0 (patch)

- Django 2.2 (patch)

- Django 1.11 (patch)

### 2020年2月3日 - CVE 2020-7471

`StringAgg(delimiter)` を通じた潜在的 SQL インジェクション. ` <https://www.djangoproject.com/weblog/2020/feb/03/security-releases/>`__

#### 影響を受けるバージョン

- Django 3.0 (パッチ)

- Django 2.2 (パッチ)

- Django 1.11 (パッチ)

### December 18, 2019 - CVE 2019-19844

Potential account hijack via password reset form. Full description

#### 影響を受けるバージョン

- Django 3.0 (パッチ)

- Django 2.2 (patch)

- Django 1.11 (patch)

### December 2, 2019 - CVE 2019-19118

Privilege escalation in the Django admin. Full description

#### 影響を受けるバージョン

- Django 3.0 (パッチ)

- Django 2.2 (patch)

- Django 2.1 (patch)

### 2019年8月1日 - CVE 2019-14235

`django.utils.encoding.uri_to_iri()` におけるメモリ枯渇の可能性。詳細な説明

#### 影響を受けるバージョン

- Django 2.2 (パッチ)

- Django 2.1 (パッチ)

- Django 1.11 (パッチ)

### August 1, 2019 - CVE 2019-14234

SQL injection possibility in key and index lookups for `JSONField`/`HStoreField`. Full description

#### 影響を受けるバージョン

- Django 2.2 (パッチ)

- Django 2.1 (パッチ)

- Django 1.11 (パッチ)

### August 1, 2019 - CVE 2019-14233

Denial-of-service possibility in `strip_tags()`. Full description

#### 影響を受けるバージョン

- Django 2.2 (patch)

- Django 2.1 (patch)

- Django 1.11 (patch)

### August 1, 2019 - CVE 2019-14232

Denial-of-service possibility in `django.utils.text.Truncator`. Full description

#### 影響を受けるバージョン

- Django 2.2 (patch)

- Django 2.1 (patch)

- Django 1.11 (patch)

### July 1, 2019 - CVE 2019-12781

Incorrect HTTP detection with reverse-proxy connecting via HTTPS. Full description

#### 影響を受けるバージョン

- Django 2.2 (patch)

- Django 2.1 (patch)

- Django 1.11 (patch)

### June 3, 2019 - CVE 2019-12308

XSS via "Current URL" link generated by `AdminURLFieldWidget`. Full description

#### 影響を受けるバージョン

- Django 2.2 (patch)

- Django 2.1 (patch)

- Django 1.11 (patch)

### June 3, 2019 - CVE 2019-11358

Prototype pollution in bundled jQuery. Full description

#### 影響を受けるバージョン

- Django 2.2 (patch)

- Django 2.1 (patch)

### 2019年2月11日 - CVE 2019-6975

`django.utils.numberformat.format()` におけるメモリ枯渇の問題。詳細な説明

#### 影響を受けるバージョン

- Django 2.1 (パッチ)

- Django 2.0 (パッチ および 修正)

- Django 1.11 (パッチ)

### 2019年1月4日 - CVE 2019-3498

デフォルトの 404 ページにおけるコンテンツスプーフィングの可能性。詳細な説明

#### 影響を受けるバージョン

- Django 2.1 (パッチ)

- Django 2.0 (パッチ)

- Django 1.11 (パッチ)

### 2018年10月1日 - CVE 2018-16984

Password hash disclosure to 「表示のみ (view only)」の admin ユーザーにパスワードのハッシュが意図せず公開されてしまう問題。詳細な説明

#### 影響を受けるバージョン

- Django 2.1 (パッチ)

### 2018年8月1日 - CVE 2018-14574

`CommonMiddleware` におけるオープンリダイレクトの可能性。詳細な説明

#### 影響を受けるバージョン

- Django 2.1 (パッチ)

- Django 2.0 (パッチ)

- Django 1.11 (パッチ)

### 2018年3月6日 - CVE 2018-7537

`truncatechars_html` と `truncatewords_html` テンプレートフィルタにおけるDoS 攻撃の可能性。 詳細な説明

#### 影響を受けるバージョン

- Django 2.0 (パッチ)

- Django 1.11 (パッチ)

- Django 1.8 (パッチ)

### 2018年3月6日 - CVE 2018-7536

`urlize` と `urlizetrunc` テンプレートフィルタにおける DoS 攻撃の可能性。詳細な説明

#### 影響を受けるバージョン

- Django 2.0 (パッチ)

- Django 1.11 (パッチ)

- Django 1.8 (パッチ)

### 2018年2月1日 - CVE 2018-6188

`AuthenticationForm` における情報漏えい問題。詳細な説明

#### 影響を受けるバージョン

- Django 2.0 (パッチ)

- Django 1.11 (パッチ)

### 2017年9月5日 - CVE 2017-12794

Possible XSS in traceback section of technical 500 debug page. Full description

#### 影響を受けるバージョン

- Django 1.11 (パッチ)

- Django 1.10 (パッチ)

### April 4, 2017 - CVE 2017-7234

Open redirect vulnerability in `django.views.static.serve()`. Full description

#### 影響を受けるバージョン

- Django 1.10 (パッチ)

- Django 1.9 (パッチ)

- Django 1.8 (パッチ)

### April 4, 2017 - CVE 2017-7233

Open redirect and possible XSS attack via user-supplied numeric redirect URLs. Full description

#### 影響を受けるバージョン

- Django 1.10 (patch)

- Django 1.9 (patch)

- Django 1.8 (patch)

### November 1, 2016 - CVE 2016-9014

DNS rebinding vulnerability when `DEBUG=True`. Full description

#### 影響を受けるバージョン

- Django 1.10 (patch)

- Django 1.9 (patch)

- Django 1.8 (patch)

### November 1, 2016 - CVE 2016-9013

User with hardcoded password created when running tests on Oracle. Full description

#### 影響を受けるバージョン

- Django 1.10 (patch)

- Django 1.9 (patch)

- Django 1.8 (patch)

### September 26, 2016 - CVE 2016-7401

CSRF protection bypass on a site with Google Analytics. Full description

#### 影響を受けるバージョン

- Django 1.9 (patch)

- Django 1.8 (patch)

### July 18, 2016 - CVE 2016-6186

XSS in admin's add/change related popup. Full description

#### 影響を受けるバージョン

- Django 1.9 (patch)

- Django 1.8 (patch)

### March 1, 2016 - CVE 2016-2513

User enumeration through timing difference on password hasher work factor upgrade. Full description

#### 影響を受けるバージョン

- Django 1.9 (patch)

- Django 1.8 (patch)

### March 1, 2016 - CVE 2016-2512

Malicious redirect and possible XSS attack via user-supplied redirect URLs containing basic auth. Full description

#### 影響を受けるバージョン

- Django 1.9 (patch)

- Django 1.8 (patch)

### February 1, 2016 - CVE 2016-2048

User with "change" but not "add" permission can create objects for `ModelAdmin`’s with `save_as=True`. Full description

#### 影響を受けるバージョン

- Django 1.9 (patch)

### November 24, 2015 - CVE 2015-8213

Settings leak possibility in `date` template filter. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)

- Django 1.7 (patch)

### August 18, 2015 - CVE 2015-5963 / CVE 2015-5964

Denial-of-service possibility in `logout()` view by filling session store. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)

- Django 1.7 (patch)

- Django 1.4 (patch)

### July 8, 2015 - CVE 2015-5145

Denial-of-service possibility in URL validation. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)

### July 8, 2015 - CVE 2015-5144

Header injection possibility since validators accept newlines in input. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)

- Django 1.7 (patch)

- Django 1.4 (patch)

### July 8, 2015 - CVE 2015-5143

Denial-of-service possibility by filling session store. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)

- Django 1.7 (patch)

- Django 1.4 (patch)

### May 20, 2015 - CVE 2015-3982

Fixed session flushing in the cached_db backend. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)

### March 18, 2015 - CVE 2015-2317

Mitigated possible XSS attack via user-supplied redirect URLs. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

- Django 1.8 (patch)

### March 18, 2015 - CVE 2015-2316

Denial-of-service possibility with `strip_tags()`. Full description

#### 影響を受けるバージョン

- Django 1.6 (patch)

- Django 1.7 (patch)

- Django 1.8 (patch)

### March 9, 2015 - CVE 2015-2241

XSS attack via properties in `ModelAdmin.readonly_fields`. Full description

#### 影響を受けるバージョン

- Django 1.7 (patch)

- Django 1.8 (patch)

### January 13, 2015 - CVE 2015-0222

Database denial-of-service with `ModelMultipleChoiceField`. Full description

#### 影響を受けるバージョン

- Django 1.6 (patch)

- Django 1.7 (patch)

### January 13, 2015 - CVE 2015-0221

Denial-of-service attack against `django.views.static.serve()`. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### January 13, 2015 - CVE 2015-0220

Mitigated possible XSS attack via user-supplied redirect URLs. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### January 13, 2015 - CVE 2015-0219

WSGI header spoofing via underscore/dash conflation. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### August 20, 2014 - CVE 2014-0483

Data leakage via querystring manipulation in admin. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### August 20, 2014 - CVE 2014-0482

`RemoteUserMiddleware` session hijacking. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### August 20, 2014 - CVE 2014-0481

File upload denial of service. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### August 20, 2014 - CVE 2014-0480

`reverse()` can generate URLs pointing to other hosts. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### May 18, 2014 - CVE 2014-3730

Malformed URLs from user input incorrectly validated. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### May 18, 2014 - CVE 2014-1418

Caches may be allowed to store and serve private data. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### April 21, 2014 - CVE 2014-0474

MySQL typecasting causes unexpected query results. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### April 21, 2014 - CVE 2014-0473

Caching of anonymous pages could reveal CSRF token. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### April 21, 2014 - CVE 2014-0472

Unexpected code execution using `reverse()`. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

- Django 1.6 (patch)

- Django 1.7 (patch)

### September 14, 2013 - CVE 2013-1443

Denial-of-service via large passwords. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch and Python compatibility fix)

- Django 1.5 (patch)

### September 10, 2013 - CVE 2013-4315

Directory-traversal via `ssi` template tag. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

### August 13, 2013 - CVE 2013-6044

Possible XSS via unvalidated URL redirect schemes. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)

- Django 1.5 (patch)

### August 13, 2013 - CVE 2013-4249

XSS via admin trusting `URLField` values. Full description

#### 影響を受けるバージョン

- Django 1.5 (patch)

### February 19, 2013 - CVE 2013-0306

Denial-of-service via formset `max_num` bypass. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)

- Django 1.4 (patch)

### February 19, 2013 - CVE 2013-0305

Information leakage via admin history log. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)

- Django 1.4 (patch)

### February 19, 2013 - CVE 2013-1664 / CVE 2013-1665

Entity-based attacks against Python XML libraries. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)

- Django 1.4 (patch)

### February 19, 2013 - No CVE

Additional hardening of `Host` header handling. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)

- Django 1.4 (patch)

### December 10, 2012 - No CVE 2

Additional hardening of redirect validation. Full description

#### 影響を受けるバージョン

- Django 1.3: (patch)

- Django 1.4: (patch)

### December 10, 2012 - No CVE 1

Additional hardening of `Host` header handling. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)

- Django 1.4 (patch)

### October 17, 2012 - CVE 2012-4520

`Host` header poisoning. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)

- Django 1.4 (patch)

### July 30, 2012 - CVE 2012-3444

Denial-of-service via large image files. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)

- Django 1.4 (patch)

### July 30, 2012 - CVE 2012-3443

Denial-of-service via compressed image files. Full description

#### 影響を受けるバージョン

- Django 1.3: (patch)

- Django 1.4: (patch)

### July 30, 2012 - CVE 2012-3442

XSS via failure to validate redirect scheme. Full description

#### 影響を受けるバージョン

- Django 1.3: (patch)

- Django 1.4: (patch)

### September 9, 2011 - CVE 2011-4140

Potential CSRF via `Host` header. Full description

#### 影響を受けるバージョン

This notification was an advisory only, so no patches were issued.

- Django 1.2

- Django 1.3

### September 9, 2011 - CVE 2011-4139

`Host` header cache poisoning. Full description

#### 影響を受けるバージョン

- Django 1.2 (patch)

- Django 1.3 (patch)

### September 9, 2011 - CVE 2011-4138

Information leakage/arbitrary request issuance via `URLField.verify_exists`. Full description

#### 影響を受けるバージョン

- Django 1.2: (patch)

- Django 1.3: (patch)

### September 9, 2011 - CVE 2011-4137

Denial-of-service via `URLField.verify_exists`. Full description

#### 影響を受けるバージョン

- Django 1.2 (patch)

- Django 1.3 (patch)

### September 9, 2011 - CVE 2011-4136

Session manipulation when using memory-cache-backed session. Full description

#### 影響を受けるバージョン

- Django 1.2 (patch)

- Django 1.3 (patch)

### February 8, 2011 - CVE 2011-0698

Directory-traversal on Windows via incorrect path-separator handling. Full description

#### 影響を受けるバージョン

- Django 1.1 (patch)

- Django 1.2 (patch)

### February 8, 2011 - CVE 2011-0697

XSS via unsanitized names of uploaded files. Full description

#### 影響を受けるバージョン

- Django 1.1 (patch)

- Django 1.2 (patch)

### February 8, 2011 - CVE 2011-0696

CSRF via forged HTTP headers. Full description

#### 影響を受けるバージョン

- Django 1.1 (patch)

- Django 1.2 (patch)

### December 22, 2010 - CVE 2010-4535

Denial-of-service in password-reset mechanism. Full description

#### 影響を受けるバージョン

- Django 1.1 (patch)

- Django 1.2 (patch)

### December 22, 2010 - CVE 2010-4534

Information leakage in administrative interface. Full description

#### 影響を受けるバージョン

- Django 1.1 (patch)

- Django 1.2 (patch)

### September 8, 2010 - CVE 2010-3082

XSS via trusting unsafe cookie value. Full description

#### 影響を受けるバージョン

- Django 1.2 (patch)

### 2009年10月9日 - CVE 2009-3695

Denial-of-service via pathological regular expression performance. Full description

#### 影響を受けるバージョン

- Django 1.0 (patch)

- Django 1.1 (patch)

### July 28, 2009 - CVE 2009-2659

Directory-traversal in development server media handler. Full description

#### 影響を受けるバージョン

- Django 0.96 (patch)

- Django 1.0 (patch)

### September 2, 2008 - CVE 2008-3909

CSRF via preservation of POST data during admin login. Full description

#### 影響を受けるバージョン

- Django 0.91 (patch)

- Django 0.95 (patch)

- Django 0.96 (patch)

### May 14, 2008 - CVE 2008-2302

XSS via admin login redirect. Full description

#### 影響を受けるバージョン

- Django 0.91 (patch)

- Django 0.95 (patch)

- Django 0.96 (patch)

### October 26, 2007 - CVE 2007-5712

Denial-of-service via arbitrarily-large `Accept-Language` header. Full description

#### 影響を受けるバージョン

- Django 0.91 (patch)

- Django 0.95 (patch)

- Django 0.96 (patch)

## Django のセキュリティプロセスで解決される前の問題

いくつかのセキュリティ問題については、Django が正式にセキュリティ問題の処理プロセスを確立する以前に修正されました。そのような修正に対しては、新しいリリースが出されたときに修正された CVE が記載されていないことがあります。

### January 21, 2007 - CVE 2007-0405

Apparent "caching" of authenticated user. Full description

#### 影響を受けるバージョン

- Django 0.95 (patch)

### 2006年8月16日 - CVE 2007-0404

翻訳フレームワークにおけるファイル名の検証問題。 詳細な説明

#### 影響を受けるバージョン

- Django 0.90 (patch)

- Django 0.91 (patch)

- Django 0.95 (patch) (2007年1月21日にリリース)