Django Update 02-2026: SQL Injection Schwachstellen gefixt

Das Django-Team hat am 3. Februar 2026 Sicherheitsupdates für die Versionen 6.0.2, 5.2.11 und 4.2.28 veröffentlicht, die insgesamt sechs Sicherheitslücken schließen. Betroffen sind alle aktiv unterstützten Django-Versionen. Drei der Schwachstellen werden als “high severity” eingestuft und ermöglichen SQL-Injection-Angriffe.

Die schwerwiegendsten Probleme betreffen SQL-Injection-Vektoren: CVE-2026-1207 erlaubt Angriffe über Raster-Lookups auf PostGIS-Feldern, wenn ungeprüfte Daten als Band-Index verwendet werden. CVE-2026-1287 ermöglicht SQL-Injection über Steuerzeichen in Spalten-Aliassen bei FilteredRelation, und CVE-2026-1312 nutzt eine ähnliche Schwachstelle in QuerySet.order_by() kombiniert mit FilteredRelation. Alle drei Lücken setzen voraus, dass Angreifer Dictionary-Expansion mit präparierten Wörterbüchern in Methoden wie annotate(), aggregate() oder values() einschleusen können.

Zusätzlich wurden zwei DoS-Anfälligkeiten mittlerer Schwere gepatcht: CVE-2025-14550 betrifft ASGI-Requests mit massenweise duplizierten HTTP-Headern, die durch wiederholte String-Konkatenation zu super-linearer Rechenkomplexität führen. CVE-2026-1285 ermöglicht DoS-Angriffe über django.utils.text.Truncator HTML-Methoden bei Eingaben mit vielen unpassenden HTML-End-Tags. Eine niedrig eingestufte Timing-Attack-Schwachstelle (CVE-2025-13473) erlaubt Username-Enumeration bei mod_wsgi-Authentifizierung.

Alle Django-Nutzer sollten umgehend auf die aktuellen Versionen aktualisieren. Prüfen Sie Ihre Django-Installation mit python -m django --version. Besonders kritisch sind Anwendungen, die Nutzereingaben ohne strikte Validierung in ORM-Operationen verarbeiten oder PostGIS-Funktionen nutzen. Die Updates stehen über die üblichen Distributionswege bereit.

Details und Patches: https://www.djangoproject.com/weblog/2026/feb/03/security-releases/

Tags :

Related Posts

Notepad++: Chrysalis-Backdoor der Lotus Blossom APT-Gruppe

Rapid7 hat eine komplexe Angriffskampagne der chinesischen APT-Gruppe Lotus Blossom aufgedeckt, die seit 2009 aktiv ist und primär Regierungsbehörden, Telekommunikation, Luftfahrt und kritische Infrastrukturen in Südostasien und Zentralamerika ins Visier nimmt. Der Angriffsvektor nutzte kompromittierte Notepad++-Infrastruktur zur Verbreitung einer bisher unbekannten Backdoor namens Chrysalis.

Read More

Kritische RCE-Schwachstelle im OpenSSL Januar-2026-Release gefixt

Ein autonomes KI-Analysesystem namens AISLE hat sämtliche 12 Sicherheitslücken entdeckt, die OpenSSL im koordinierten Januar-2026-Release behoben hat. Dies stellt einen Meilenstein in der automatisierten Schwachstellenanalyse dar, da OpenSSL als eine der am intensivsten geprüften Codebases weltweit gilt. Einige der gefundenen Schwachstellen existierten seit Jahrzehnten – eine davon seit 1998. Die Entdeckungen umfassen eine hochkritische Remote Code Execution-Schwachstelle (CVE-2025-15467) durch Stack Buffer Overflow beim CMS AuthEnvelopedData-Parsing, die vor jeder Authentifizierung ausgelöst werden kann.

Read More

CVE-2026-20045: Cisco Unified Communications Produkte von Zero Day Schwachstelle betroffen

Eine äußerst kritische Sicherheitslücke wurde in mehreren Cisco Unified Communications-Produkten entdeckt und wird bereits aktiv in freier Wildbahn ausgenutzt. Die als CVE-2026-20045 bezeichnete Schwachstelle ermöglicht es Angreifern, ohne jegliche Authentifizierung vollständige Kontrolle über betroffene Systeme zu erlangen. Cisco hat dieser Schwachstelle einen CVSS-Score von 8.2 zugewiesen, stuft sie jedoch aufgrund der Möglichkeit zur Root-Rechte-Eskalation als kritisch ein. Das Cisco Product Security Incident Response Team bestätigt, dass die Lücke bereits für Angriffe missbraucht wird, was ein sofortiges Handeln aller Betreiber betroffener Systeme erforderlich macht.

Read More