CVE-2026-35193
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W Django 5.2 przed 5.2.15 i 6.0 przed 6.0.6, `django.middleware.cache.UpdateCacheMiddleware` nie dodaje nagłówka `Authorization` do nagłówka odpowiedzi `Vary` dla żądań z tym nagłówkiem bez `Cache-Control: public`. Umożliwia to zdalnym atakującym odczytanie prywatnych odpowiedzi z pamięci podręcznej poprzez nieuwierzytelnione żądania do tego samego URL-a.
Ocena ryzyka
Poufne dane przechowywane w pamięci podręcznej mogą zostać ujawnione nieuwierzytelnionym użytkownikom.
Rekomendacja
Zaleca się aktualizację Django do wersji 5.2.15, 6.0.6 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Django 5.2 before 5.2.15 and 6.0 before 6.0.6. `django.middleware.cache.UpdateCacheMiddleware` in Django does not add `Authorization` to the `Vary` response header for requests bearing that header without `Cache-Control: public`, which allows remote attackers to read private cached responses via unauthenticated requests to the same URL. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Shai Berger for reporting this issue.