CVE-2026-54625
Publiée le 2026-08-20 · Dernière modification le 2026-10-26
Les installations de django CMS avec la mise en cache des pages activée sont affectées par une faille qui ne parvient pas à distinguer les utilisateurs en fonction de certains en-têtes de requête. Un attaquant distant non authentifié peut manipuler le cache pour diffuser le contenu de son choix à d'autres visiteurs, ce qui pourrait entraîner la fuite de petites quantités de données spécifiques aux utilisateurs. Cette opération est difficile à exécuter (complexité élevée) car elle nécessite un timing précis pour « amorcer » le cache avant qu'un utilisateur légitime ne demande la page.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
django CMS is a content management system powered by Django. Prior to 5.0.8 and in 5.1.0a1, the django CMS page cache in cms/cache/page.py ignores request headers declared by plugins through get_vary_cache_on(). The _page_cache_key function includes the cache prefix, site, language, path, and timezone but not the declared header values. Although set_page_cache adds those names to the response Vary header, get_page_cache retrieves the first stored variant under the same header-agnostic key. When CMS_PAGE_CACHE is enabled and a plugin varies content on a header such as Country-Code, one visitor can receive another visitor’s request-specific content, and an unauthenticated attacker can prime the cache with attacker-chosen content. This issue is fixed in versions 5.0.8 and 5.1.0.