p PatchFirst

CVE-2026-25673

CVE-2026-25673 · Potential denial-of-service vulnerability in URLField via Unicode normalization on Windows

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

An issue was discovered in 6.0 before 6.0.3, 5.2 before 5.2.12, and 4.2 before 4.2.29. `URLField.to_python()` in Django calls `urllib.parse.urlsplit()`, which performs NFKC normalization on Windows that is disproportionately slow for certain Unicode characters, allowing a remote attacker to cause denial of service via large URL inputs containing these characters. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Seokchan Yoon for reporting this issue.

CVSS 7.5 · Высокий · EPSS 0,8% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • django

    Версии
    • ≥ 6.0, < 6.0.3: Затронуто (semver)
    • 6.0.3: Не затронуто (semver)
    • ≥ 5.2, < 5.2.12: Затронуто (semver)
    • 5.2.12: Не затронуто (semver)
    • ≥ 4.2, < 4.2.29: Затронуто (semver)
    • 4.2.29: Не затронуто (semver)

    Обновитесь до 4.2.29; Обновитесь до 5.2.12; Обновитесь до 6.0.3

  • django PyPI

    Версии
    • 6.0
    • 6.0.1
    • 6.0.2
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 6.0, < 6.0.3

    Обновитесь до 6.0.3

  • django PyPI

    Версии
    • 5.2
    • 5.2.1
    • 5.2.10
    • 5.2.11
    • 5.2.2
    • 5.2.3
    • 5.2.4
    • 5.2.5
    • 5.2.6
    • 5.2.7
    • 5.2.8
    • 5.2.9
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 5.2, < 5.2.12

    Обновитесь до 5.2.12

  • django PyPI

    Версии
    • 4.2
    • 4.2.1
    • 4.2.10
    • 4.2.11
    • 4.2.12
    • 4.2.13
    • 4.2.14
    • 4.2.15
    • 4.2.16
    • 4.2.17
    • 4.2.18
    • 4.2.19
    • 4.2.2
    • 4.2.20
    • 4.2.21
    • 4.2.22
    • 4.2.23
    • 4.2.24
    • 4.2.25
    • 4.2.26
    • 4.2.27
    • 4.2.28
    • 4.2.3
    • 4.2.4
    • 4.2.5
    • 4.2.6
    • 4.2.7
    • 4.2.8
    • 4.2.9
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 4.2, < 4.2.29

    Обновитесь до 4.2.29

  • django PyPI

    Версии
    • 4.2
    • 4.2.1
    • 4.2.10
    • 4.2.11
    • 4.2.12
    • 4.2.13
    • 4.2.14
    • 4.2.15
    • 4.2.16
    • 4.2.17
    • 4.2.18
    • 4.2.19
    • 4.2.2
    • 4.2.20
    • 4.2.21
    • 4.2.22
    • 4.2.23
    • 4.2.24
    • 4.2.25
    • 4.2.26
    • 4.2.27
    • 4.2.28
    • 4.2.3
    • 4.2.4
    • 4.2.5
    • 4.2.6
    • 4.2.7
    • 4.2.8
    • 4.2.9
    • 5.2
    • 5.2.1
    • 5.2.10
    • 5.2.11
    • 5.2.2
    • 5.2.3
    • 5.2.4
    • 5.2.5
    • 5.2.6
    • 5.2.7
    • 5.2.8
    • 5.2.9
    • 6.0
    • 6.0.1
    • 6.0.2
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 4.2, < 4.2.29 ∪ ≥ 5.2, < 5.2.12 ∪ ≥ 6.0, < 6.0.3

    Обновитесь до 4.2.29; Обновитесь до 5.2.12; Обновитесь до 6.0.3

Первоисточники

Проверьте свой сервер →