Python 函式庫 Django 5.2.x < 5.2.14 / 6.0.x < 6.0.5 多個漏洞

medium Nessus Plugin ID 313213

語言:

概要

遠端主機上安裝的 Python 程式庫受到多個弱點影響。

說明

偵測到的 Django Python 套件版本在之前或6.0.x之前6.0.5。5.2.x5.2.14 因此，該主機會受到多個弱點影響，包括：

- 缺少或低估 Content-Length 標頭的 ASGI 請求可能會繞過FILE_UPLOAD_MAX_MEMORY_SIZE限制，可能會將大型檔案載入記憶體並導致服務降級。（CVE-2026-5766）

- django.middleware.cache.UpdateCacheMiddleware 錯誤地快取了 Vary 標頭包含星號（'*'）的請求。這可能會導致私人資料被儲存和提供。（CVE-2026-6907）

- 如果未修改階段作業，則回應標頭不會因 cookie 而變化，但 SESSION_SAVE_EVERY_REQUEST 為 True。
遠端攻擊者可在使用者造訪快取的公用頁面後竊取使用者的工作階段。（CVE-2026-35192）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。