リモートのDebian 11/12ホストには、DLA-4736アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4736-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2026年8月12日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ:python-django バージョン: 2:2.2.28-1~deb11u13 3:3.2.25-0+deb12u4 CVE ID: CVE-2026-15337 CVE-2026-15920

    Python ベースの Web 開発フレームワークである Django に、2 つの問題が見つかりました。

    CVE-2026-15337

        django.utils.translation モジュールの check_for_language() メソッドにある潜在的なサービス拒否の脆弱性を回避します。

        このメソッドは、多数の異なる非常に長い言語コードをチェックする際に、サービス拒否(DoS)攻撃を受ける可能性がありました。この脆弱性を緩和するために、500 文字を超える言語コードは、キャッシュされた検索の前に拒否されるようになりました。

    CVE-2026-15920

        Django 管理者の偽造 URLField 値を介した潜在的なクロスサイトスクリプティング(XSS)攻撃を防ぎます。

        管理者は、URLField の値を、「changelist」ビューと読み取り専用フィールドでクリック可能なリンクとしてレンダリングします。このリンクはこれまで、安全な URL としての値を検証することなく生成されていたため、潜在的に危険なスキームを使用する保存された値がリンクとしてレンダリングされていました。現在は、display_for_fieldを介して表示される URLField 値は、リンクがレンダリングされる前に URLValidator クラスを使用して検証され、検証に失敗した場合に平文として表示されます。

    Debian 11 bullseye では、これらの問題はバージョン 2:2.2.28-1~deb11u13 で修正されました。

    Debian 12 bookworm では、これらの問題はバージョン 3:3.2.25-0+deb12u4 で修正されています。

    python-django パッケージをアップグレードすることを推奨します。

    python-django の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/python-django

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:21543-1 アドバイザリで言及されています。

    python-Django の変更点:

    - CVE-2026-15307:空間検索によるサーバー側のファイル書き込みとリクエスト偽造(bsc#1272997)
    - CVE-2026-15337:「check_for_language()」での潜在的なサービス拒否脆弱性(bsc#1272998)
    - CVE-2026-15830:ネスト化されたジオメトリコレクションを介した潜在的なサービス拒否の脆弱性(bsc#1272999)
    - CVE-2026-15920:管理者の「URLField」値による潜在的なクロスサイトスクリプティング(bsc#1273000)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-950089270f のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    「python-django5」を最新の 5.x リリース(5.2.17)に更新してください

    - CVE-2026-15307 [重要度高](空間検索を介するサーバー側のファイル書き込みとリクエスト偽造)を修正します
    - CVE-2026-15337 を修正 [重要度低]:check_for_language() にある潜在的なサービス拒否の脆弱性
    - 修正 CVE-2026-15830 [重要度中]:ネスト化されたジオメトリコレクションを通じた潜在的なサービス拒否の脆弱性
    - CVE-2026-15920 を修正します [重要度中]:管理者の URLField 値を介する潜在的なクロスサイトスクリプティング

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-6b28b4e483 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    「python-django5」を最新の 5.x リリース(5.2.17)に更新してください

    - CVE-2026-15307 [重要度高](空間検索を介するサーバー側のファイル書き込みとリクエスト偽造)を修正します
    - CVE-2026-15337 を修正 [重要度低]:check_for_language() にある潜在的なサービス拒否の脆弱性
    - 修正 CVE-2026-15830 [重要度中]:ネスト化されたジオメトリコレクションを通じた潜在的なサービス拒否の脆弱性
    - CVE-2026-15920 を修正します [重要度中]:管理者の URLField 値を介する潜在的なクロスサイトスクリプティング

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-301e6e2983 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    「python-django5」を最新の 5.x リリース(5.2.17)に更新してください

    - CVE-2026-15307 [重要度高](空間検索を介するサーバー側のファイル書き込みとリクエスト偽造)を修正します
    - CVE-2026-15337 を修正 [重要度低]:check_for_language() にある潜在的なサービス拒否の脆弱性
    - 修正 CVE-2026-15830 [重要度中]:ネスト化されたジオメトリコレクションを通じた潜在的なサービス拒否の脆弱性
    - CVE-2026-15920 を修正します [重要度中]:管理者の URLField 値を介する潜在的なクロスサイトスクリプティング

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-6613125727 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    「python-django6」(「python3-django」を提供)を最新の 6.1.1 リリースに更新してください

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Django 5.2.17 以前の 5.2、6.0.8 以前の 6.0 に問題が発見されました。
    「django.utils.translation.check_for_language()」は、メモリ内のキャッシュにキーとして保持され、プロセスメモリを消費する、多数の非常に長い言語コードが与えられた場合の、サービス拒否攻撃の対象となります。このようなコードは、「django.views.i18n.set_language()」ビューを通して関数に到達しますが、デフォルトではルーティングされません。リクエストデータは「DATA_UPLOAD_MAX_MEMORY_SIZE」設定(デフォルト 2.5 MB)により制限され、キャッシュは固定の最大エントリ数を保持するため、消費されるメモリは制限されます。以前は、サポートされていない Django シリーズ( 5.1.x、 5.0.x、 4.2.x など)は評価されておらず、影響を受ける可能性もあります。Django は、この問題を報告してくれた Jaeyoung Jang 氏に感謝の意を表します。(CVE-2026-15337)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:3503-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2026-15307:空間検索を介したサーバー側のファイル書き込みとリクエスト偽造(bsc#1272997)。
    - CVE-2026-15337:「check_for_language()」での潜在的なサービス拒否脆弱性(bsc#1272998)。
    - CVE-2026-15830:ネスト化されたジオメトリコレクションを介した潜在的なサービス拒否の脆弱性(bsc#1272999)。
    - CVE-2026-15920:管理者の「URLField」値による潜在的なクロスサイトスクリプティング(bsc#1273000)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 45 ホストには、FEDORA-2026-522a9411e7 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    「python-django6」(「python3-django」を提供)を最新の 6.1.1 リリースに更新してください

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
334971	Debian dla-4736:python-django-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2026/8/12	2026/8/14	medium
333512	openSUSE 16 セキュリティ更新:python-Django(openSUSE-SU-2026:21543-1)	Nessus	SuSE Local Security Checks	2026/8/8	2026/8/14	high
346998	Fedora 45:python-django5(2026-950089270f)	Nessus	Fedora Local Security Checks	2026/9/17	2026/9/17	high
347939	Fedora 43:python-django5(2026-6b28b4e483)	Nessus	Fedora Local Security Checks	2026/9/18	2026/9/18	high
347932	Fedora 44:python-django5(2026-301e6e2983)	Nessus	Fedora Local Security Checks	2026/9/18	2026/9/18	high
346468	Fedora 44:python-django6(2026-6613125727)	Nessus	Fedora Local Security Checks	2026/9/16	2026/9/16	medium
332075	Linux Distros のパッチ未適用の脆弱性: CVE-2026-15337	Nessus	Misc.	2026/8/4	2026/8/22	medium
333043	SUSE SLES15 セキュリティ更新:python-Django(SUSE-SU-2026:3503-1)	Nessus	SuSE Local Security Checks	2026/8/6	2026/8/7	high
346469	Fedora 45:python-django6(2026-522a9411e7)	Nessus	Fedora Local Security Checks	2026/9/16	2026/9/16	medium

検出

プラグインの検索

medium

high

high

high

high

medium

medium

high

medium