CVE-2026-53878
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Django 6.0 przed 6.0.7 i 5.2 przed 5.2.16 wykryto podatność w walidatorze `DomainNameValidator`, który nie blokuje znaków nowej linii w nazwach domen. Jeśli aplikacja używa takich wartości w odpowiedziach HTTP, może dojść do wstrzyknięcia nagłówków, choć samo Django jest chronione przez `HttpResponse`.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia nagłówków HTTP przez atakującego, co może prowadzić do ataków typu HTTP response splitting, przejęcia sesji lub manipulacji treścią odpowiedzi.
Rekomendacja
Zaleca się natychmiastową aktualizację Django do wersji 6.0.7 lub 5.2.16. Jeśli aktualizacja nie jest możliwa, należy ręcznie walidować i usuwać znaki nowej linii z danych domenowych przed użyciem w odpowiedziach HTTP.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Django 6.0 before 6.0.7 and 5.2 before 5.2.16. `DomainNameValidator` does not prohibit newlines in domain names (unless used via a form field, since `CharField` strips newlines). If an application uses values with newlines in an HTTP response, header injection can occur. Django itself is unaffected because `HttpResponse` prohibits newlines in HTTP headers. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Bence Nagy for reporting this issue.