FICHE CVE

CVE-2026-48588

Publiée le 2026-07-07 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les sites Django utilisant `UpdateCacheMiddleware` ou le décorateur `cache_page` sont concernés. Un attaquant distant pourrait potentiellement lire les données privées d'un autre utilisateur à partir du cache partagé s'il parvient à inciter une victime à cliquer sur un lien spécifiquement conçu. Cela nécessite une interaction de l'utilisateur ainsi que des configurations de cookies spécifiques pour être exécuté, ce qui en fait une faille relativement peu risquée.

CVSS 4.02.3 FAIBLE

Type de faiblesse

CWE-524

Publiée2026-07-07

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

An issue was discovered in Django 6.0 before 6.0.7 and 5.2 before 5.2.16. `UpdateCacheMiddleware` and the `cache_page()` decorator cache responses that vary on cookies when the incoming request carries unrelated cookies, which allows remote attackers to read private data from the shared cache. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Chris Whyland for reporting this issue.