Вразливість CVE-2026-25674 у Django вимагає уваги адміністраторів та розробників, які працюють із багатопотоковими середовищами. Проблема полягала в некоректній обробці прав доступу до файлів, що могло призвести до створення каталогів із надмірними привілеями, створюючи ризики для безпеки даних.
Оприлюднена 3 березня 2026 року інформація вказує на те, що механізми зберігання файлів у Django покладалися на глобальну зміну umask процесу. У багатопотокових середовищах це створювало стан гонки: один потік міг змінити umask, впливаючи на права доступу до файлів, що створювалися іншими потоками. Виправлення усуває цю залежність, замінюючи зміну umask на явне застосування прав доступу за допомогою os.chmod() одразу після створення каталогу через os.mkdir().
Рекомендації для адміністраторів:
- Оновіть Django до версії, що містить виправлення CVE-2026-25674.
- Перевірте права доступу до каталогів, створених додатком у багатопотокових середовищах, на предмет наявності надмірних дозволів.
- Проведіть аудит безпеки файлової системи для виявлення об'єктів, створених до моменту оновлення.
Що це означає для бізнесу
Вразливість CVE-2026-25674 у Django, пов'язана з некоректною обробкою прав доступу до файлів у багатопотокових середовищах, може призвести до створення каталогів із надмірними привілеями. Це створює ризик несанкціонованого доступу до конфіденційних даних, що зберігаються на сервері.
Практичний крок: Оновіть Django до виправленої версії та проведіть аудит прав доступу до файлової системи. Замовте у Softline аудит безпеки вашого серверного середовища для виявлення та усунення потенційних вразливостей у налаштуваннях прав доступу.
Використані джерела
- djangoproject.com (djangoproject.com)