Django vulnerável ao abuso de privilégios em ModelAdmin.list_editable

Um atacante pode explorar essa vulnerabilidade para criar novas instâncias de modelos Django através de formulários de changelist do Admin, mesmo sem as permissões adequadas. Isso pode ser feito manipulando os dados POST enviados ao servidor. O impacto direto é a criação de registros falsos ou indesejados no banco de dados, o que pode levar a dados incorretos, relatórios imprecisos e, em casos mais graves, a manipulação de processos de negócios. A blast radius é limitada ao contexto do Admin Django e à capacidade do atacante de manipular os dados POST. Embora a severidade seja classificada como baixa, a exploração bem-sucedida pode ter consequências significativas dependendo da criticidade dos dados gerenciados pelo Django.

1. Reservado2026-03-16
2. Publicada2026-04-07
3. Modificada2026-04-09
4. EPSS atualizado2026-04-15

A mitigação primária para CVE-2026-4292 é atualizar para a versão 6.0.4 ou superior do Django. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais. Implemente validação rigorosa dos dados de entrada nos formulários de changelist do Admin para evitar a criação de instâncias não autorizadas. Restrinja o acesso aos formulários de changelist do Admin apenas a usuários autorizados. Monitore os logs do Django em busca de atividades suspeitas, como a criação de instâncias inesperadas. Após a atualização, confirme a correção verificando se a criação de instâncias via POST forjado não é mais possível nos formulários de changelist do Admin.