CVE-2026-87975

Privilege abuse in model formsets with editable primary keys

CVSS 3.1Medium

4.3/ 10.0

Опубликовано

6 октября 2026 г.

Обновлено

6 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 6.1.2, 6.0.9, 5.2.18

Обновиться до Django 6.1.2, 6.0.9 или 5.2.18.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Подмена объектов вне разрешенного queryset в Django из-за некорректной валидации editable primary key в model formsets.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Метод django.forms.models.BaseModelFormSet.save_existing_objects() ошибочно считает переданный primary key подтверждением принадлежности объекта к queryset формы. Если primary key доступен для редактирования (OneToOneField, natural/UUID PK), атакующий может передать произвольный идентификатор существующего объекта в базе.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Несанкционированная модификация или перезапись чужих записей БД аутентифицированным пользователем в обход ограничений формы.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

djangoprojectDjango

>= 6.1➔Fix: 6.1.2

djangoprojectDjango

>= 6.0➔Fix: 6.0.9

djangoprojectDjango

>= 5.2➔Fix: 5.2.18

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (7)

docs.djangoproject.comhttps://docs.djangoproject.com/en/dev/releases/security/
groups.google.comhttps://groups.google.com/g/django-announce
github.comhttps://github.com/django/django/commit/83cbd21be57483e6b3eb6e4688a561c841aff75e
github.comhttps://github.com/django/django/commit/cce6c57ed30ea83725f9d6abb2fe5ee932bab107
github.comhttps://github.com/django/django/commit/b83ab92bc5474558b083a840ea4628b3261b2cfe
github.comhttps://github.com/django/django/commit/ff27883ca055aa9ab23015b50674a5b10dfe5a41
www.djangoproject.comhttps://www.djangoproject.com/weblog/2026/oct/06/security-releases/

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-87975: Privilege abuse in model formsets with editable primary keys. URL: https://cve.futuretools.ru/cve/CVE-2026-87975

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_87975,
  title = {{CVE-2026-87975: Privilege abuse in model formsets with editable primary keys}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-87975}},
  note = {Оперативный инженерный анализ киберугроз}
}