CVE-2026-6907
Publiée le 2026-05-05 · Dernière modification le 2026-10-26
Les applications web Django utilisant le `UpdateCacheMiddleware` sont susceptibles de présenter une erreur de mise en cache lorsque l'en-tête `Vary` est défini sur un astérisque. Un attaquant pourrait potentiellement tromper le système pour qu'il mette en cache et serve des données privées à d'autres utilisateurs, bien que cela nécessite un ensemble de conditions spécifiques et une interaction de l'utilisateur pour être déclenché. Comme cela requiert qu'une victime interagisse avec un lien ou une page malveillante, le risque d'une attaque directe et automatisée est faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An issue was discovered in 6.0 before 6.0.5 and 5.2 before 5.2.14. `django.middleware.cache.UpdateCacheMiddleware` erroneously caches requests where the `Vary` header contained an asterisk (`'*'`). This can lead to private data being stored and served. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Ahmad Sadeddin for reporting this issue.