CVE-2026-87975: Privilege abuse in model formsets with editable primary keys

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (DSF). Не зависят от анализа CPE в NVD и обычно опережают его.

• djangoproject Django

  • 6.1.2, 6.0.9, 5.2.18не затронута
  • 6.1 и новее · до 6.1.2затронута · python
  • 6.0 и новее · до 6.0.9затронута · python
  • 5.2 и новее · до 5.2.18затронута · python

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2022-34265An issue was discovered in Django 3.2 before 3.2.14 and 4.0 before 4.0.6.
  61На этой неделе
• CVE-2020-7471Django 1.11 before 1.11.28, 2.2 before 2.2.10, and 3.0 before 3.0.3 allows SQL Injection if untrusted data is used as a StringAgg delimiter
  59В плане
• CVE-2019-19844Django before 1.11.27, 2.x before 2.2.9, and 3.x before 3.0.1 allows account takeover.
  55В плане

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-844296 окт. 2026 г. · Potential denial-of-service vulnerability in HTTP header parsing
  27Наблюдать
• ← РаньшеCVE-2026-878906 окт. 2026 г. · Potential request forgery via spatial lookup byte values
  27Наблюдать
• Позже →CVE-2026-1081473 нояб. 2026 г. · Potential memory exhaustion in MultiPartParser via base64-encoded file upload
  27Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.