Django Security Bulletin: Cookie Salt Collision, SMTP STARTTLS Failopen, and Cache Data Leakage via Vary/Header Issues (CVE-2026-6873/7666/8404/35193/48587)

漏洞概述 Django 发布了多个安全更新，涉及以下漏洞： 1. CVE-2026-6873: 签名 cookie 盐命名空间冲突 - 描述: 方法在拼接 cookie 名称（key）和盐参数时，如果名称和盐产生相同的拼接结果，可能会导致接受来自不同上下文的 cookie。 - 影响: 低严重性。 2. CVE-2026-7666: 通过 STARTTLS 在 SMTP 后端传输未加密邮件 - 描述: 当使用 时，失败的 STARTTLS 握手可能导致部分初始化的连接被重用，从而在没有加密的情况下发送电子邮件。 - 影响: 低严重性。 3. CVE-2026-8404: 通过大小写敏感的 Cache-Control 指令在 UpdateCacheMiddleware 中潜在暴露私有数据 - 描述: 和 装饰器错误地缓存了标记为私有 Cache-Control 指令的响应，当使用混合或大写值（如 Private）时。 - 影响: 低严重性。 4. CVE-2026-35193: 通过缺少 Vary: Authorization 在 UpdateCacheMiddleware 中潜在暴露私有数据 - 描述: 和 装饰器允许缓存带有 头（且没有 ）的响应。为了与现有的构建缓存键机制保持一致，这些响应现在将基于 进行缓存。 - 影响: 低严重性。 5. CVE-2026-48587: 通过 Vary 头中的空格填充潜在暴露私有数据 - 描述: 错误地缓存了包含前导或尾随空格的 头值。由于 未能识别包含通配符的尾随空格，导致响应被存储并在不应被服务时被服务。 - 影响: 低严重性。 影响范围 受影响的版本: - Django main - Django 6.1（当前处于 alpha 状态） - Django 6.0 - Django 5.2 修复方案 补丁已应用: - 所有上述漏洞的补丁已应用于 Django 的 main、6.1（当前处于 alpha 状态）、6.0 和 5.2 分支。 - 补丁可从以下 changelogs 获取： - Django 6.0.6 (tarball - Django 5.2.15 (tarball 具体修复: - CVE-2026-6873: 在 中修复签名盐的拼接逻辑。 - CVE-2026-7666: 修复 SMTP 后端中 STARTTLS 握手失败后的连接重用问题。 - CVE-2026-8404: 修复 和 装饰器对大小写敏感的 Cache-Control 指令的处理。 - CVE-2026-35193: 修复 和 装饰器对 头的缓存处理。 - CVE-2026-48587: 修复 对 头中空格的处理。 代码块 页面中未包含具体的 POC 代码或利用代码。 总结 Django 发布了多个安全更新，涉及签名 cookie、SMTP 邮件传输、缓存中间件等漏洞。所有受影响的版本（Django main、6.1、6.0、5.2）均已应用补丁，用户应尽快升级以确保安全。

目標達成 すべての支援者に感謝 — 100%達成しました！

Django Security Bulletin: Cookie Salt Collision, SMTP STARTTLS Failopen, and Cache Data Leakage via Vary/Header Issues (CVE-2026-6873/7666/8404/35193/48587)

目標達成すべての支援者に感謝 — 100%達成しました！