CVE-2026-48588
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W Django 6.0 przed 6.0.7 i 5.2 przed 5.2.16 wykryto podatność w `UpdateCacheMiddleware` i dekoratorze `cache_page()`. Mechanizmy te buforują odpowiedzi zależne od ciasteczek nawet wtedy, gdy żądanie przychodzące zawiera niezwiązane ciasteczka, co umożliwia zdalnemu atakującemu odczytanie prywatnych danych ze współdzielonej pamięci podręcznej.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych użytkowników (np. sesji, preferencji) przechowywanych w ciasteczkach, które mogą zostać odczytane przez nieuprawnionych atakujących ze współdzielonej pamięci podręcznej.
Rekomendacja
Należy niezwłocznie zaktualizować Django do wersji 6.0.7 lub 5.2.16 (lub nowszej). Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz buforowanie odpowiedzi zależnych od ciasteczek lub zastosuj własną warstwę buforującą.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Django 6.0 before 6.0.7 and 5.2 before 5.2.16. `UpdateCacheMiddleware` and the `cache_page()` decorator cache responses that vary on cookies when the incoming request carries unrelated cookies, which allows remote attackers to read private data from the shared cache. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Chris Whyland for reporting this issue.