Python ライブラリ Django 5.2.x < 5.2.15 / 6.0.x < 6.0.6 複数の脆弱性
low Nessus プラグイン ID 318785
Language:
概要
リモートホストにインストールされている Python ライブラリは、複数の脆弱性の影響を受けます。説明
検出されたDjango Pythonパッケージのバージョンは、5.2.15より前の5.2.xまたは6.0.6より前の6.0.xです。そのため、以下を含む複数の脆弱性による影響を受けます:- django.middleware.cache.UpdateCacheMiddleware は、Cache-Control: public のないヘッダーを持つリクエストに対して、Vary 応答ヘッダーに Authorization を追加しません。これにより、リモートの攻撃者が、同じ URL への認証されていないリクエストを介して、プライベートなキャッシュされた応答を読み取る可能性があります。(CVE-2026-35193)
- django.utils.cache.has_vary_header() は比較前に Vary 応答ヘッダー値から先頭または末尾の空白を取り除きません。これにより、リモートの攻撃者が、応答に空白パディングの Vary ヘッダー値を含む URL に対するリクエストを介して、キャッシュされた応答を読み取る可能性があります。(CVE-2026-48587)
- django.core.mail.backends.smtp.EmailBackend は、fail_silently=True の場合、STARTTLS ハンドシェイクの失敗後に、部分的に初期化された接続の再利用の防止に失敗します。これにより、オンパスネットワークの攻撃者が、平文傍受を介してメールコンテンツを読み取る可能性があります。(CVE-2026-7666)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Django バージョン 5.2.15、6.0.6 以降にアップグレードしてください。参考資料
https://www.djangoproject.com/weblog/2026/jun/03/security-releases/
プラグインの詳細
深刻度: Low
ID: 318785
ファイル名: python_django_6_0_6.nasl
バージョン: 1.2
タイプ: Local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2026/6/5
更新日: 2026/6/8
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 2.2
CVSS v2
リスクファクター: Medium
基本値: 5
現状値: 3.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS スコアのソース: CVE-2026-8404
CVSS v3
リスクファクター: Medium
基本値: 5.3
現状値: 4.6
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
リスクファクター: Low
Base Score: 2.3
Threat Score: 0.6
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
脆弱性情報
CPE: cpe:/a:djangoproject:django
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/6/3
脆弱性公開日: 2026/6/3
参照情報
CVE: CVE-2026-35193, CVE-2026-48587, CVE-2026-6873, CVE-2026-7666, CVE-2026-8404
IAVA: 2026-A-0543