Python 库 Django 5.2.x < 5.2.14 / 6.0.x < 6.0.5 多种漏洞

medium Nessus 插件 ID 313213

语言：

简介

远程主机上安装的 Python 库受到多个漏洞的影响。

描述

检测到的 Django Python 程序包版本为 5.2.x 低于 5.2.14 或 6.0.x 低于 6.0.5. 因此，该应用程序受到多个漏洞的影响，其中包括：

- 包含缺少或低估 Content-Length 标头的 ASGI 请求可绕过FILE_UPLOAD_MAX_MEMORY_SIZE限制，从而可能将大文件加载到内存中并导致服务降级。（CVE-2026-5766）

- django.middleware.cache.UpdateCacheMiddleware 错误缓存 Vary 标头包含星号（“*”）的请求。这可能导致存储和服务隐私数据。（CVE-2026-6907）

- 如果会话未经过修改，响应头不会随 cookie 变化，但 SESSION_SAVE_EVERY_REQUEST为 True。
在用户访问缓存的公共页面后，远程攻击者可窃取该用户的会话。（CVE-2026-35192）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。