CVE-2026-8404
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W Django 5.2 przed 5.2.15 i 6.0 przed 6.0.6, `django.middleware.cache.UpdateCacheMiddleware` nie porównuje dyrektyw `Cache-Control` w odpowiedziach w sposób niewrażliwy na wielkość liter. Zdalny atakujący może odczytać odpowiedzi, które zostały nieprawidłowo zapisane w pamięci podręcznej, ponieważ ich dyrektywy `Cache-Control` używały wielkich lub mieszanych liter.
Ocena ryzyka
Ryzyko polega na możliwości wycieku poufnych danych, które powinny być wykluczone z cache'owania, ale zostały nieprawidłowo zapisane w pamięci podręcznej z powodu błędnego parsowania nagłówków.
Rekomendacja
Zaleca się aktualizację Django do wersji 5.2.15, 6.0.6 lub nowszej. Należy również sprawdzić konfigurację cache'owania i upewnić się, że wrażliwe dane nie są przechowywane w pamięci podręcznej.
Oryginalny opis (angielski, źródło NVD)
An issue was discovered in Django 5.2 before 5.2.15 and 6.0 before 6.0.6. `django.middleware.cache.UpdateCacheMiddleware` in Django does not match `Cache-Control` response directives case-insensitively, which allows remote attackers to read responses that were incorrectly cached because their `Cache-Control` directives used uppercase or mixed-case values. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Ahmed Badawe for reporting this issue.