CVE-2026-87890
Potential request forgery via spatial lookup byte values
CVSS 3.1Medium
5.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 6.1.2, 6.0.9, 5.2.18
Установите обновления безопасности Django: 6.1.2, 6.0.9 или 5.2.18. Неподдерживаемые ветки 5.1.x, 5.0.x и 4.2.x также подвержены риску.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Подделка запросов на стороне сервера (SSRF) в Django через пространственные выборки. Неполный патч CVE-2026-15307 допускает отправку исходящих сетевых запросов.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Механизм пространственных выборок (spatial lookups) при обработке входных данных типа `bytes` разбирает сформированный XML-документ VRT, ссылающийся на внешние растровые источники, инициируя внешние сетевые соединения от имени процесса Django.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Эксплуатация SSRF позволяет злоумышленнику сканировать внутреннюю инфраструктуру и обращаться к недоступным извне сетевым ресурсам от лица сервера приложений.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
djangoprojectDjango
>= 6.1➔Fix: 6.1.2
djangoprojectDjango
>= 6.0➔Fix: 6.0.9
djangoprojectDjango
>= 5.2➔Fix: 5.2.18
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)
- docs.djangoproject.comhttps://docs.djangoproject.com/en/dev/releases/security/
- groups.google.comhttps://groups.google.com/g/django-announce
- github.comhttps://github.com/django/django/commit/ebcb13b327301f28cbc6cd5e4988a719f00575aa
- github.comhttps://github.com/django/django/commit/4e77ef1e69c94780006b82795aa7db101996c3af
- github.comhttps://github.com/django/django/commit/a2347fe8234a1831d56c875acc0ea51e0742957c
- github.comhttps://github.com/django/django/commit/dd0558d1617619e0d66163675ef02135d0f54e5f
- www.djangoproject.comhttps://www.djangoproject.com/weblog/2026/oct/06/security-releases/
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-87890: Potential request forgery via spatial lookup byte values. URL: https://cve.futuretools.ru/cve/CVE-2026-87890
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_87890,
title = {{CVE-2026-87890: Potential request forgery via spatial lookup byte values}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-87890}},
note = {Оперативный инженерный анализ киберугроз}
}