CVE-2026-113733

Password hash disclosure to "view only" admin users with custom user models

CVSS 3.1Medium

2.2/ 10.0

Опубликовано

3 ноября 2026 г.

Обновлено

3 ноября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите Django до версий 6.1.3 или 6.0.10.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

В панели администрирования Django обнаружено раскрытие хешей паролей пользователям с правами только на просмотр.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функция django.contrib.admin.utils.display_for_field() не маскирует поле пароля для кастомных моделей пользователей, отличных от AUTH_USER_MODEL, либо если AUTH_USER_MODEL наследует пароль через мультитабличное наследование. Аутентифицированные сотрудники с правом view могут увидеть полный хеш в форме изменения.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Раскрытие полных хешей паролей учётных записей административным пользователям с правами только на чтение.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)

docs.djangoproject.comhttps://docs.djangoproject.com/en/dev/releases/security/
groups.google.comhttps://groups.google.com/g/django-announce
github.comhttps://github.com/django/django/commit/f5b039a619b3b5394ea5b966e17c7546fda6f937
github.comhttps://github.com/django/django/commit/7d875c0a49d2a59335c65f6bf57970a5bac03be2
github.comhttps://github.com/django/django/commit/67cce9dcd23ddeec41ccf0abfe3431e3cd724365
www.djangoproject.comhttps://www.djangoproject.com/weblog/2026/nov/03/security-releases/

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-113733: Password hash disclosure to "view only" admin users with custom user models. URL: https://cve.futuretools.ru/cve/CVE-2026-113733

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_113733,
  title = {{CVE-2026-113733: Password hash disclosure to "view only" admin users with custom user models}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-113733}},
  note = {Оперативный инженерный анализ киберугроз}
}