Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Django 5.2.15 以前の 5.2、6.0.6 以前の 6.0 に問題が発見されました。
    Django の「django.utils.cache.has_vary_header()」は、比較前に「Vary」応答ヘッダー値から先頭または末尾の空白を取り除きません。これにより、リモートの攻撃者が、空白パディングの Vary ヘッダー値を含む応答を持つ URL に対するリクエストを介して、キャッシュされた応答を読み取る可能性があります。以前は、サポートされていない Django シリーズ( 5.0.x、 4.1.x、 3.2.x など)は評価されておらず、影響を受ける可能性もあります。Django は、この問題を報告してくれた Navid Rezazadeh 氏に感謝の意を表します。(CVE-2026-48587)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20937-1 アドバイザリで言及されています。

    python-Django の変更点:

    - CVE-2026-6873:署名済みクッキーソルト名前空間の衝突(bsc#1267578)
    - CVE-2026-7666:SMTPバックエンドでの STARTTLS 経由の暗号化されていないメール送信の可能性(bsc#1267579)
    - CVE-2026-8404:大文字小文字を区別するキャッシュコントロールディレクティブを介したプライベートデータの潜在的な漏洩(bsc#1267580)
    - CVE-2026-35193:欠如している Vary: Authorization(bsc#1267576)によるプライベートデータの潜在的な漏洩
    - CVE-2026-48587:Vary ヘッダーの空白パディングによるプライベートデータの漏洩の可能性(bsc#1267577)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-e4146022ce のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    5 つの重要度の低い CVE を修正

    - CVE-2026-6873:署名されたクッキーソルト名前空間の衝突
    - CVE-2026-7666:SMTPバックエンドの STARTTLS を介した暗号化されていないメール送信の可能性
    - CVE-2026-8404:大文字小文字を区別する Cache-Control ディレクティブを介したプライベートデータの漏洩の可能性
    - CVE-2026-35193:欠如している Vary: Authorization によるプライベートデータの漏洩の可能性
    - CVE-2026-48587:Vary ヘッダーの空白パディングを介したプライベートデータの漏洩の可能性


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-f140cb16b6 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    5 つの重要度の低い CVE を修正

    - CVE-2026-6873:署名されたクッキーソルト名前空間の衝突
    - CVE-2026-7666:SMTPバックエンドの STARTTLS を介した暗号化されていないメール送信の可能性
    - CVE-2026-8404:大文字小文字を区別する Cache-Control ディレクティブを介したプライベートデータの漏洩の可能性
    - CVE-2026-35193:欠如している Vary: Authorization によるプライベートデータの漏洩の可能性
    - CVE-2026-48587:Vary ヘッダーの空白パディングを介したプライベートデータの漏洩の可能性


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:2318-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-Django のこの更新は、次の問題を修正します

    - CVE-2026-6873:「django.http.HttpRequest.get_signed_cookie」での署名クッキーソルト名前空間の衝突(bsc#1267578)。
    - CVE-2026-7666:SMTPバックエンドでの「STARTTLS」を介した暗号化されていないメール送信の可能性(bsc#1267579)。
    - CVE-2026-8404:「UpdateCacheMiddleware」の大文字小文字を区別する「Cache-Control」ディレクティブを介したプライベートデータの漏洩の可能性(bsc#1267580)。
    - CVE-2026-35193:「UpdateCacheMiddleware」の「Vary: Authorization」の欠如によるプライベートデータの漏洩の可能性(bsc#1267576)。
    - CVE-2026-48587:「Vary」ヘッダーの空白パディングによるプライベートデータの漏洩の可能性(bsc#1267577)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのDebian 12ホストには、dla-4802アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTSアドバイザリ DLA-4802-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2026年9月29日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ:python-django バージョン: 3:3.2.25-0+deb12u5 CVE ID: CVE-2026-48587 CVE-2026-48588 Debian バグ:1138775 1141629

    Python ベースの Web 開発フレームワークである Django に、複数の脆弱性が発見されました:

    CVE-2026-48587

        Varyヘッダーの空白パディングによるプライベートデータの漏えいの可能性。django.middleware.cache.UpdateCacheMiddleware が、Vary ヘッダー値に先頭または末尾の空白が含まれる応答を不適切にキャッシュしていました。has_vary_header が空白を除去できなかったため、Vary: * ヘッダー(末尾のスペースに注意)がある応答は、ワイルドカードが含まれていると認識されず、保存され、保存されるべきでないときにキャッシュから提供される可能性がありました。

    CVE-2026-48588

        UpdateCacheMiddleware および @cache_page デコレーターは、着信リクエストが関係のないクッキーを運ぶ際に、クッキーで変化する応答をキャッシュしていました。これにより、リモートの攻撃者は、共有キャッシュからプライベートデータを読み取ることができます。

    Debian 12 bookworm では、これらの問題はバージョン 3:3.2.25-0+deb12u5 で修正されました。

    python-django パッケージをアップグレードすることを推奨します。

    python-django の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/python-django

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出されたDjango Pythonパッケージのバージョンは、5.2.15より前の5.2.xまたは6.0.6より前の6.0.xです。そのため、以下を含む複数の脆弱性による影響を受けます:

  - django.middleware.cache.UpdateCacheMiddleware は、Cache-Control: public のないヘッダーを持つリクエストに対して、Vary 応答ヘッダーに Authorization を追加しません。これにより、リモートの攻撃者が、同じ URL への認証されていないリクエストを介して、プライベートなキャッシュされた応答を読み取る可能性があります。(CVE-2026-35193)

  - django.utils.cache.has_vary_header() は比較前に Vary 応答ヘッダー値から先頭または末尾の空白を取り除きません。これにより、リモートの攻撃者が、応答に空白パディングの Vary ヘッダー値を含む URL に対するリクエストを介して、キャッシュされた応答を読み取る可能性があります。(CVE-2026-48587)

  - django.core.mail.backends.smtp.EmailBackend は、fail_silently=True の場合、STARTTLS ハンドシェイクの失敗後に、部分的に初期化された接続の再利用の防止に失敗します。これにより、オンパスネットワークの攻撃者が、平文傍受を介してメールコンテンツを読み取る可能性があります。(CVE-2026-7666)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
318515	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48587	Nessus	Misc.	2026/6/3	2026/9/30	low
321071	openSUSE 16 セキュリティ更新:python-Django(openSUSE-SU-2026:20937-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	low
321077	Fedora 44:python-django5(2026-e4146022ce)	Nessus	Fedora Local Security Checks	2026/6/14	2026/6/14	low
321084	Fedora 43:python-django5(2026-f140cb16b6)	Nessus	Fedora Local Security Checks	2026/6/14	2026/6/14	low
321061	SUSE SLES15 セキュリティ更新:python-Django(SUSE-SU-2026:2318-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	low
352260	Debian dla-4802:python-django-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2026/9/30	2026/9/30	low
318785	Python ライブラリ Django 5.2.x < 5.2.15 / 6.0.x < 6.0.6 複数の脆弱性	Nessus	Misc.	2026/6/5	2026/6/8	low

検出

プラグインの検索

low

low

low

low

low

low

low