El equipo de desarrollo de Django ha lanzado Django 6.0.8 y Django 5.2.17 para solucionar cuatro vulnerabilidades de seguridad que afectan a las versiones compatibles del framework web de Python.

Se insta a los desarrolladores y administradores a actualizar lo antes posible, especialmente en aquellos casos donde las funciones GIS de Django o la interfaz de administración integrada estén expuestas a usuarios del personal.

El problema más grave, rastreado como CVE-2026-15307, tiene una calificación de severidad alta. Afecta a las búsquedas espaciales de Django que procesan valores relacionados con ráster a través de GDALRaster.

Anteriormente, las búsquedas espaciales podían aceptar valores de cadena y diccionario cuando representaban rásters. Dependiendo del controlador de ráster seleccionado, un valor malicioso podría provocar la escritura de un archivo en el servidor o realizar una solicitud de red utilizando los permisos del proceso de Django.

Django Parchea Cuatro Fallos de Seguridad

En ciertos entornos, el comportamiento de escritura de archivos podría potencialmente conducir a la ejecución remota de código. El problema era especialmente relevante en las listas de cambios del administrador de Django, donde los usuarios del personal con permisos de vista podían utilizar filtros en modelos registrados que contenían campos espaciales.

Ahora, Django bloquea los valores de diccionario y las cadenas que no sean objetos GEOSGeometry válidos para que no se utilicen en búsquedas espaciales. Este cambio de seguridad puede afectar a las aplicaciones que dependían de estos tipos de entrada.

Django afirmó que las asignaciones de campos de modelo permanecen sin cambios y aún pueden aceptarlos. Si manejas datos espaciales no confiables, debes validarlos antes de usarlos y revisar la guía de seguridad de ráster de Django antes de restaurar una funcionalidad similar en código personalizado.

El CVE-2026-15337 aborda un riesgo de denegación de servicio de severidad baja en django.utils.translation.check_for_language(). La función podía almacenar una gran cantidad de códigos de idioma distintos y excesivamente largos en una caché en memoria.

Un atacante podría enviar valores largos a través de solicitudes POST a la vista opcional set_language(), consumiendo memoria gradualmente.

El impacto en la memoria estaba limitado por la configuración del tamaño de solicitud de Django y un recuento máximo de entradas de caché. Sin embargo, la actualización ahora rechaza los códigos de idioma de más de 500 caracteres antes de que lleguen a la búsqueda en caché, reduciendo el consumo innecesario de memoria.

Otro fallo de denegación de servicio, CVE-2026-15830, afecta a las aplicaciones que utilizan el procesamiento de geometría geográfica. Los objetos GEOMETRYCOLLECTION profundamente anidados podrían causar un fallo de segmentación en la biblioteca GEOS subyacente.

Esto podría permitir que un atacante interrumpa una aplicación de Django si se pasa una entrada de geometría manipulada a las búsquedas de campos espaciales o a un campo de formulario GeometryField.

Las correcciones imponen un máximo de 198 colecciones de geometría anidadas para la entrada de texto bien conocido (well-known text). Para la entrada binaria bien conocida, Django limita el número total de colecciones de geometría a 198.

Si necesitas un umbral diferente, puedes utilizar el nuevo ajuste max_geom_collections disponible en GEOSGeometry, así como en los campos de formulario y campos de modelo pertinentes. Las entradas GeoJSON no se ven afectadas porque GDAL las analiza.

El cuarto problema, CVE-2026-15920, es un riesgo de cross-site scripting (XSS) almacenado de severidad moderada en las vistas del administrador de Django. Los valores de URLField se renderizaban como enlaces hacibles en las listas de cambios y campos de administración de solo lectura sin confirmar primero que la URL utilizaba un esquema seguro.

Por lo tanto, un valor almacenado que utilizara un esquema peligroso podría aparecer como un enlace activo. Ahora, Django valida los valores de URLField con URLValidator antes de renderizarlos como enlaces. En su lugar, los valores inválidos se muestran como texto plano.

Las correcciones también se han aplicado a la rama principal de Django y a la rama candidata de lanzamiento de Django 6.1. Tu organización debería actualizar rápidamente los despliegues de Django, probar la compatibilidad de las búsquedas espaciales y revisar los controles de acceso del administrador y las prácticas de validación de entrada.