JVNDB-2026-018494

Django Software FoundationのDjangoにおける大文字と小文字の区別の不適切な処理に関する脆弱性

Django 5.2 の 5.2.15 より前のバージョンおよび 6.0 の 6.0.6 より前のバージョンに問題が発見されました。Django の `django.middleware.cache.UpdateCacheMiddleware` は `Cache-Control` レスポンスディレクティブを大文字小文字を区別せずに一致させておらず、これによりリモート攻撃者が大文字または混合ケースの値を使用した `Cache-Control` ディレクティブによって誤ってキャッシュされたレスポンスを読み取ることが可能になります。以前のサポート対象外の Django シリーズ（5.0.x、4.1.x、3.2.x など）も評価されておらず、影響を受ける可能性があります。Django はこの問題を報告した Ahmed Badawe 氏に感謝しています。

Django Software Foundation

• Django 5.2 以上 5.2.15 未満
• Django 6.0 以上 6.0.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Django Software Foundation

• Documentation : Archive of security issues | Django documentation | Django
• News & Events : Django security releases issued: 6.0.6 and 5.2.15 | Weblog | Django

1. 大文字と小文字の区別の不適切な処理(CWE-178) [その他]

1. CVE-2026-8404

1. National Vulnerability Database (NVD) : CVE-2026-8404
2. 関連文書 : django-announce - Google グループ

• [2026年06月08日]
    掲載