El equipo de desarrollo ha emitido actualizaciones de seguridad urgentes para corregir seis vulnerabilidades críticas que afectan a múltiples versiones del popular framework web Python. Los fallos, que incluyen tres vulnerabilidades de inyección SQL de alta gravedad y múltiples vectores de denegación de servicio (DoS), impactan en las versiones 4.2, 5.2, 6.0 de Django y en la rama principal de desarrollo. 

El equipo de desarrollo ha publicado actualizaciones de seguridad urgentes para corregir seis vulnerabilidades críticas que afectan a múltiples versiones del popular framework web Python. Las fallas, que incluyen tres vulnerabilidades de inyección SQL de alta gravedad y múltiples vectores de denegación de servicio, impactan en las versiones 4.2, 5.2, 6.0 de Django y en la rama principal de desarrollo. Tres de las vulnerabilidades reveladas tienen calificaciones de alta gravedad y podrían permitir a los atacantes ejecutar comandos SQL arbitrarios. CVE-2026-1207 afecta a los usuarios de PostGIS a través de búsquedas ráster en campos GIS, donde datos no confiables usados como índice de banda podrían habilitar la inyección SQL. CVE-2026-1287 apunta a la funcionalidad FilteredRelation, permitiendo inyección SQL en alias de columnas mediante caracteres de control cuando se pasan diccionarios manipulados a métodos de QuerySet como annotate(), aggregate() y values(). Además, CVE-2026-1312 explota QuerySet.order_by() mediante inyección SQL en alias de columnas que contienen puntos cuando se usan con FilteredRelation. 

 

Vulnerabilidades de Denegación de Servicio

También se parchearon dos vulnerabilidades de denegación de servicio de gravedad moderada.

ID de CVE	Descripción	Gravedad	Versiones Afectadas
CVE-2025-13473	Enumeración de nombres de usuario mediante diferencias de tiempo en el manejador de autenticación mod_wsgi	Baja	4.2, 5.2, 6.0, main
CVE-2025-14550	Denegación de servicio mediante cabeceras repetidas al usar ASGI	Moderada	4.2, 5.2, 6.0, main
CVE-2026-1207	Inyección SQL mediante búsquedas ráster en PostGIS	Alta	4.2, 5.2, 6.0, main
CVE-2026-1285	Denegación de servicio en los métodos HTML de django.utils.text.Truncator	Moderada	4.2, 5.2, 6.0, main
CVE-2026-1287	Inyección SQL en alias de columnas mediante caracteres de control	Alta	4.2, 5.2, 6.0, main
CVE-2026-1312	Inyección SQL mediante QuerySet.order_by() y FilteredRelation	Alta	4.2, 5.2, 6.0, main

CVE-2025-14550 afecta a implementaciones ASGI, permitiendo a los atacantes enviar solicitudes con múltiples cabeceras duplicadas, lo que lleva a concatenación de cadenas repetida, computación superlineal y degradación del servicio. CVE-2026-1285 apunta a los métodos HTML de Truncator de Django, específicamente a las funciones chars() y words() con html=True, así como a los filtros de plantillas truncatechars_html y truncatewords_html. Las entradas con muchas etiquetas HTML de cierre no coincidentes pueden causar complejidad cuadrática en el tiempo durante el análisis. Una vulnerabilidad de ataque de temporización de baja gravedad, CVE-2025-13473, afecta al manejador de autenticación mod_wsgi. La función check_password() permite a atacantes remotos enumerar nombres de usuario válidos midiendo diferencias en el tiempo de respuesta, lo que podría facilitar ataques de fuerza bruta. El equipo de Django ha publicado parches para las versiones 6.0.2, 5.2.11 y 4.2.28, instando a todos los usuarios a actualizar inmediatamente. Los parches están disponibles a través de los cambios en GitHub para cada rama afectada. Las organizaciones que usan Django deben priorizar la actualización de sus instalaciones, especialmente aquellas que utilizan PostGIS, servidores ASGI o consultas FilteredRelation.

Área	Acción Recomendada
Actualización Inmediata	Actualiza a las últimas versiones parcheadas inmediatamente
Validación de Entrada	Asegúrate de que toda la entrada de usuario no confiable esté correctamente validada
Usuarios de PostGIS	Revisa las implementaciones de búsquedas ráster para el uso de índices de banda no confiables
Implementaciones ASGI	Monitorea y protege contra ataques de cabeceras duplicadas
Revisión de QuerySet	Audita el código que usa FilteredRelation y order_by() con alias dinámicos

Fuentes:
https://cybersecuritynews.com/django-vulnerabilities/