El equipo de Django lanzó actualizaciones de seguridad críticas el 4 de diciembre de 2024. Estas actualizaciones resuelven dos vulnerabilidades detectadas en versiones recientes del framework.
Vulnerabilidades identificadas
Las vulnerabilidades podrían comprometer la seguridad de aplicaciones web al permitir ataques como la inyección de SQL y la denegación de servicio (DoS). La primera, con el identificador CVE-2024-53907, corresponde a una denegación de servicio en django.utils.html.strip_tags(). La segunda, con el identificador CVE-2024-53908, se relaciona con la inyección SQL en HasKey(lhs, rhs) cuando se utiliza Oracle como base de datos.
Versiones afectadas
Las vulnerabilidades impactan las versiones Django 4.2, Django 5.0 y Django 5.1.
Solución recomendada
Se recomienda actualizar a Django 4.2.10, Django 5.0.3 o Django 5.1.1 para mitigar las vulnerabilidades. Los desarrolladores deben actualizar Django, auditar dependencias y revisar implementaciones de strip_tags() y consultas con HasKey.
Riesgos potenciales
Los riesgos incluyen el compromiso de la seguridad de aplicaciones web, ataques como la inyección de SQL y la denegación de servicio (DoS), caída del sistema o ralentización crítica, acceso no autorizado a datos sensibles y alteración de la integridad de la base de datos.
Acciones de mitigación
Las acciones recomendadas para mitigar los riesgos son: actualizar a Django 4.2.10, Django 5.0.3 o Django 5.1.1; auditar dependencias relacionadas con Django; y revisar implementaciones de strip_tags() y consultas con HasKey.