概要
Django 6.0.4未満、5.2.13未満、4.2.30未満において、Content-Lengthヘッダーが欠落または過少申告されたASGIリクエストで HttpRequest.body を読み取る際に DATA_UPLOAD_MAX_MEMORY_SIZE の制限がバイパスされる脆弱性があります。リモートの攻撃者がサイズ制限のないリクエストボディをメモリに読み込ませることが可能で、DoSにつながります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 7.5（High） |
| ベクトル | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 不要 |
| ユーザー関与 | 不要 |
影響を受けるソフトウェア
| パッケージ | 影響バージョン | 修正バージョン |
|---|---|---|
| Django (PyPI) | 6.0〜6.0.3 | 6.0.4 |
| Django (PyPI) | 5.2〜5.2.12 | 5.2.13 |
| Django (PyPI) | 4.2〜4.2.29 | 4.2.30 |
修正バージョンと回避策
Django 6.0.4 / 5.2.13 / 4.2.30 へのアップデートで修正されます。ASGI環境でDjangoを運用している場合は早めのアップデートを推奨します。WSGIのみの環境では影響を受けません。
関連リンク
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。