CVE-2026-1207

概要

6.0 から 6.0.2 より前、5.2 から 5.2.11 より前、および 4.2 から 4.2.28 より前のバージョンで問題が発見されました。``RasterField`` に対するラスター検索（PostGIS でのみ実装）では、バンドインデックスパラメータを介してリモート攻撃者が SQL を注入できる可能性があります。以前のサポート対象外の Django シリーズ（5.0.x、4.1.x、3.2.x など）は評価されておらず、影響を受ける可能性があります。Django はこの問題を報告してくれた Tarek Nakkouch 氏に感謝の意を表します。

• CVE-2026-1207PoC

  DjangoフレームワークでPostGISを使用して地理ラスターデータをクエリする際、未検証のユーザー入力をband index（バンドインデックス）パラメータとして直接使用すると、SQLインジェクションが発生します。