JVNDB-2026-018504

Django Software FoundationのDjangoにおける要素の欠如による不完全な比較に関する脆弱性

Django 5.2.15未満および6.0.6未満のDjango 5.2および6.0に問題が発見されました。Djangoの`django.utils.cache.has_vary_header()`は、比較前に`Vary`レスポンスヘッダーの値から先頭および末尾の空白を取り除かないため、リモートの攻撃者が空白でパディングされたVaryヘッダー値を含むレスポンスを持つURLへのリクエストを通じてキャッシュされたレスポンスを読み取ることを可能にします。以前のサポートされていないDjangoシリーズ（5.0.x、4.1.x、3.2.xなど）についても評価されておらず、影響を受ける可能性があります。Djangoは本問題を報告したNavid Rezazadeh氏に感謝しています。

Django Software Foundation

• Django 5.2 以上 5.2.15 未満
• Django 6.0 以上 6.0.6 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Django Software Foundation

• Documentation : Archive of security issues | Django documentation | Django
• News & Events : Django security releases issued: 6.0.6 and 5.2.15 | Weblog | Django

1. 要素の欠如による不完全な比較(CWE-1023) [その他]

1. CVE-2026-48587

1. National Vulnerability Database (NVD) : CVE-2026-48587
2. 関連文書 : django-announce - Google グループ

• [2026年06月08日]
    掲載