There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - An issue was discovered in Django 6.0 before 6.0.6 and 5.2 before 5.2.15.
    `django.http.HttpRequest.get_signed_cookie` in Django uses a non-injective salt derivation (concatenating
    the cookie name and salt argument), which allows a remote attacker to use a cookie in a context different
    from the one where it was signed, via distinct `(name, salt)` pairs that produce the same concatenation.
    Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be
    affected. Django would like to thank Peng Zhou for reporting this issue. (CVE-2026-6873)

  - An issue was discovered in Django 6.0 before 6.0.6 and 5.2 before 5.2.15.
    `django.core.mail.backends.smtp.EmailBackend` in Django fails to prevent reuse of a partially-initialized
    connection after a failed `STARTTLS` handshake when `fail_silently=True`, which allows on-path network
    attackers to read email content via cleartext interception. Earlier, unsupported Django series (such as
    5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Kasper
    Dupont for reporting this issue. (CVE-2026-7666)

  - An issue was discovered in Django 5.2 before 5.2.15 and 6.0 before 6.0.6.
    `django.middleware.cache.UpdateCacheMiddleware` in Django does not match `Cache-Control` response
    directives case-insensitively, which allows remote attackers to read responses that were incorrectly
    cached because their `Cache-Control` directives used uppercase or mixed-case values. Earlier, unsupported
    Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would
    like to thank Ahmed Badawe for reporting this issue. (CVE-2026-8404)

  - An issue was discovered in Django 5.2 before 5.2.15 and 6.0 before 6.0.6.
    `django.middleware.cache.UpdateCacheMiddleware` in Django does not add `Authorization` to the `Vary`
    response header for requests bearing that header without `Cache-Control: public`, which allows remote
    attackers to read private cached responses via unauthenticated requests to the same URL. Earlier,
    unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected.
    Django would like to thank Shai Berger for reporting this issue. (CVE-2026-35193)

  - An issue was discovered in Django 5.2 before 5.2.15 and 6.0 before 6.0.6.
    `django.utils.cache.has_vary_header()` in Django does not strip leading or trailing whitespace from `Vary`
    response header values before comparison, which allows remote attackers to read cached responses via
    requests to URLs whose responses contain whitespace-padded Vary header values. Earlier, unsupported Django
    series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to
    thank Navid Rezazadeh for reporting this issue. (CVE-2026-48587)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在早於 5.2.15 版的 Django 5.2 和早於 6.0.6 版的 Django 6.0 中發現一個問題。
    Django 中的 'django.utils.cache.has_vary_header（）' 在比較之前不會從 'Vary' 回應標頭值中去除前導或尾隨空格，這允許遠端攻擊者透過對回應包含空格填充 Vary 標頭值的 URL 的請求來讀取快取的回應。先前，不支援的 Django 系列（例如 5.0.x、 和 4.1.x3.2.x）沒有被評估，也可能受到影響。Django 在此感謝 Navid Rezazadeh 報告此問題。（CVE-2026-48587）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 5.2.15 版之前的 Django 5.2 和 6.0.6 版之前的 Django 6.0 中发现一个问题。
    Django 中的“django.utils.cache.has_vary_header（）”在比较前未从“Vary”响应头值中剥离首尾空白，其允许远程攻击者通过对响应包含填空 Vary 标头值的 URL 的请求，读取缓存的响应。以前，不受支持的 Django 系列（如 5.0.x、 4.1.x和 3.2.x）未进行评估，因此可能也受到影响。Django 在此感谢 Navid Rezazadeh 报告此问题。（CVE-2026-48587）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测到的 Django Python 程序包版本为 5.2.x 低于 5.2.15 或 6.0.x 低于 6.0.6. 因此，该应用程序受到多个漏洞的影响，其中包括：

  - django.middleware.cache.UpdateCacheMiddleware 未将授权添加到无 Cache-Control： public 且带有 Vary 响应头的请求的 Vary 响应头，这允许远程攻击者通过针对同一 URL 的未经认证的请求读取私密缓存响应。（CVE-2026-35193）

  - django.utils.cache.has_vary_header（） 在比较之前未从 Vary 响应头值中剥离首尾空白，其允许远程攻击者通过对响应包含填空 Vary 标头值的 URL 的请求，读取缓存的响应。（CVE-2026-48587）

  - django.core.mail.backends.smtp.EmailBackend 在 fail_silently=True 时 STARTTLS 握手失败后无法防止重复使用部分初始化的连接，从而允许路径上的网络攻击者通过明文拦截读取电子邮件内容。（CVE-2026-7666）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

偵測到的 Django Python 套件版本在之前或6.0.x之前6.0.6。5.2.x5.2.15 因此，該主機會受到多個弱點影響，包括：

  - django.middleware.cache.UpdateCacheMiddleware 不會將 Authorization 新增至帶有該標頭的請求的 Authorization 中，而沒有 Cache-Control： public，這允許遠端攻擊者透過對相同 URL 的未經身份驗證的請求來讀取私有緩存的回應。（CVE-2026-35193）

  - django.utils.cache.has_vary_header（） 不會在比較之前從 Vary 回應標頭值中剝離前導或尾端空格，這允許遠端攻擊者透過對回應包含空格填充 Vary 標頭值的 URL 的要求來讀取快取的回應。（CVE-2026-48587）

  - 當 fail_silently=True 時，django.core.mail.backends.smtp.EmailBackend 無法阻止在 STARTTLS 交握失敗後重複使用部分初始化的連線，這允許路徑上的網路攻擊者透過明文攔截讀取電子郵件內容。（CVE-2026-7666）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

検出されたDjango Pythonパッケージのバージョンは、5.2.15より前の5.2.xまたは6.0.6より前の6.0.xです。そのため、以下を含む複数の脆弱性による影響を受けます:

  - django.middleware.cache.UpdateCacheMiddleware は、Cache-Control: public のないヘッダーを持つリクエストに対して、Vary 応答ヘッダーに Authorization を追加しません。これにより、リモートの攻撃者が、同じ URL への認証されていないリクエストを介して、プライベートなキャッシュされた応答を読み取る可能性があります。(CVE-2026-35193)

  - django.utils.cache.has_vary_header() は比較前に Vary 応答ヘッダー値から先頭または末尾の空白を取り除きません。これにより、リモートの攻撃者が、応答に空白パディングの Vary ヘッダー値を含む URL に対するリクエストを介して、キャッシュされた応答を読み取る可能性があります。(CVE-2026-48587)

  - django.core.mail.backends.smtp.EmailBackend は、fail_silently=True の場合、STARTTLS ハンドシェイクの失敗後に、部分的に初期化された接続の再利用の防止に失敗します。これにより、オンパスネットワークの攻撃者が、平文傍受を介してメールコンテンツを読み取る可能性があります。(CVE-2026-7666)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Django 5.2.15 以前の 5.2、6.0.6 以前の 6.0 に問題が発見されました。
    Django の「django.utils.cache.has_vary_header()」は、比較前に「Vary」応答ヘッダー値から先頭または末尾の空白を取り除きません。これにより、リモートの攻撃者が、空白パディングの Vary ヘッダー値を含む応答を持つ URL に対するリクエストを介して、キャッシュされた応答を読み取る可能性があります。以前は、サポートされていない Django シリーズ( 5.0.x、 4.1.x、 3.2.x など)は評価されておらず、影響を受ける可能性もあります。Django は、この問題を報告してくれた Navid Rezazadeh 氏に感謝の意を表します。(CVE-2026-48587)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20937-1 アドバイザリで言及されています。

    python-Django の変更点:

    - CVE-2026-6873:署名済みクッキーソルト名前空間の衝突(bsc#1267578)
    - CVE-2026-7666:SMTPバックエンドでの STARTTLS 経由の暗号化されていないメール送信の可能性(bsc#1267579)
    - CVE-2026-8404:大文字小文字を区別するキャッシュコントロールディレクティブを介したプライベートデータの潜在的な漏洩(bsc#1267580)
    - CVE-2026-35193:欠如している Vary: Authorization(bsc#1267576)によるプライベートデータの潜在的な漏洩
    - CVE-2026-48587:Vary ヘッダーの空白パディングによるプライベートデータの漏洩の可能性(bsc#1267577)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-e4146022ce のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    5 つの重要度の低い CVE を修正

    - CVE-2026-6873:署名されたクッキーソルト名前空間の衝突
    - CVE-2026-7666:SMTPバックエンドの STARTTLS を介した暗号化されていないメール送信の可能性
    - CVE-2026-8404:大文字小文字を区別する Cache-Control ディレクティブを介したプライベートデータの漏洩の可能性
    - CVE-2026-35193:欠如している Vary: Authorization によるプライベートデータの漏洩の可能性
    - CVE-2026-48587:Vary ヘッダーの空白パディングを介したプライベートデータの漏洩の可能性


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-f140cb16b6 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    5 つの重要度の低い CVE を修正

    - CVE-2026-6873:署名されたクッキーソルト名前空間の衝突
    - CVE-2026-7666:SMTPバックエンドの STARTTLS を介した暗号化されていないメール送信の可能性
    - CVE-2026-8404:大文字小文字を区別する Cache-Control ディレクティブを介したプライベートデータの漏洩の可能性
    - CVE-2026-35193:欠如している Vary: Authorization によるプライベートデータの漏洩の可能性
    - CVE-2026-48587:Vary ヘッダーの空白パディングを介したプライベートデータの漏洩の可能性


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:2318-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-Django のこの更新は、次の問題を修正します

    - CVE-2026-6873:「django.http.HttpRequest.get_signed_cookie」での署名クッキーソルト名前空間の衝突(bsc#1267578)。
    - CVE-2026-7666:SMTPバックエンドでの「STARTTLS」を介した暗号化されていないメール送信の可能性(bsc#1267579)。
    - CVE-2026-8404:「UpdateCacheMiddleware」の大文字小文字を区別する「Cache-Control」ディレクティブを介したプライベートデータの漏洩の可能性(bsc#1267580)。
    - CVE-2026-35193:「UpdateCacheMiddleware」の「Vary: Authorization」の欠如によるプライベートデータの漏洩の可能性(bsc#1267576)。
    - CVE-2026-48587:「Vary」ヘッダーの空白パディングによるプライベートデータの漏洩の可能性(bsc#1267577)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in Django 5.2 before 5.2.15 and 6.0 before 6.0.6.
    `django.utils.cache.has_vary_header()` in Django does not strip leading or trailing whitespace from `Vary`     response header values before comparison, which allows remote attackers to read cached responses via     requests to URLs whose responses contain whitespace-padded Vary header values. Earlier, unsupported Django     series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to     thank Navid Rezazadeh for reporting this issue. (CVE-2026-48587)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20937-1 advisory.

    Changes in python-Django:

    - CVE-2026-6873: Signed cookie salt namespace collision (bsc#1267578)
    - CVE-2026-7666: Potential unencrypted email transmission via STARTTLS in the SMTP backend (bsc#1267579)
    - CVE-2026-8404: Potential exposure of private data via case-sensitive Cache-Control directives     (bsc#1267580)
    - CVE-2026-35193: Potential exposure of private data via missing Vary: Authorization (bsc#1267576)
    - CVE-2026-48587: Potential exposure of private data via whitespace padding in Vary header (bsc#1267577)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-e4146022ce advisory.

    Fixes five low-severity CVEs

    - CVE-2026-6873: Signed cookie salt namespace collision
    - CVE-2026-7666: Potential unencrypted email transmission via STARTTLS in the SMTP backend
    - CVE-2026-8404: Potential exposure of private data via case-sensitive Cache-Control directives
    - CVE-2026-35193: Potential exposure of private data via missing Vary: Authorization
    - CVE-2026-48587: Potential exposure of private data via whitespace padding in Vary header


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-f140cb16b6 advisory.

    Fixes five low-severity CVEs

    - CVE-2026-6873: Signed cookie salt namespace collision
    - CVE-2026-7666: Potential unencrypted email transmission via STARTTLS in the SMTP backend
    - CVE-2026-8404: Potential exposure of private data via case-sensitive Cache-Control directives
    - CVE-2026-35193: Potential exposure of private data via missing Vary: Authorization
    - CVE-2026-48587: Potential exposure of private data via whitespace padding in Vary header


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2318-1 advisory.

    This update for python-Django fixes the following issues

    - CVE-2026-6873: signed cookie salt namespace collision in `django.http.HttpRequest.get_signed_cookie`     (bsc#1267578).
    - CVE-2026-7666: potential unencrypted email transmission via `STARTTLS` in the SMTP backend     (bsc#1267579).
    - CVE-2026-8404: potential exposure of private data via case-sensitive `Cache-Control` directives in       `UpdateCacheMiddleware` (bsc#1267580).
    - CVE-2026-35193: potential exposure of private data via missing `Vary: Authorization` in     `UpdateCacheMiddleware`       (bsc#1267576).
    - CVE-2026-48587: potential exposure of private data via whitespace padding in `Vary` header     (bsc#1267577).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The detected version of the Django Python package is 5.2.x prior to 5.2.15 or 6.0.x prior to 6.0.6. It is, therefore, affected by multiple vulnerabilities, including:

  - django.middleware.cache.UpdateCacheMiddleware does not add Authorization to the Vary response header for     requests bearing that header without Cache-Control: public, which allows remote attackers to read private     cached responses via unauthenticated requests to the same URL. (CVE-2026-35193)

  - django.utils.cache.has_vary_header() does not strip leading or trailing whitespace from Vary response     header values before comparison, which allows remote attackers to read cached responses via requests to     URLs whose responses contain whitespace-padded Vary header values. (CVE-2026-48587)

  - django.core.mail.backends.smtp.EmailBackend fails to prevent reuse of a partially-initialized connection     after a failed STARTTLS handshake when fail_silently=True, which allows on-path network attackers to read     email content via cleartext interception. (CVE-2026-7666)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443094	Alpine: multiple py3-django packages: security update to 5.2.15-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/6/12	2026/7/20	low
443094	Alpine: multiple py3-django packages: security update to 5.2.15-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/6/12	2026/7/20	low
318515	Linux Distros 未修補弱點：CVE-2026-48587	Nessus	Misc.	2026/6/3	2026/6/25	low
318515	Linux Distros 未修补的漏洞：CVE-2026-48587	Nessus	Misc.	2026/6/3	2026/6/25	low
318785	Python 库 Django 5.2.x < 5.2.15 / 6.0.x < 6.0.6 多种漏洞	Nessus	Misc.	2026/6/5	2026/6/8	low
318785	Python 函式庫 Django 5.2.x < 5.2.15 / 6.0.x < 6.0.6 多個漏洞	Nessus	Misc.	2026/6/5	2026/6/8	low
318785	Python ライブラリ Django 5.2.x < 5.2.15 / 6.0.x < 6.0.6 複数の脆弱性	Nessus	Misc.	2026/6/5	2026/6/8	low
318515	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48587	Nessus	Misc.	2026/6/3	2026/6/25	low
321071	openSUSE 16 セキュリティ更新:python-Django(openSUSE-SU-2026:20937-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	low
321077	Fedora 44:python-django5(2026-e4146022ce)	Nessus	Fedora Local Security Checks	2026/6/14	2026/6/14	low
321084	Fedora 43:python-django5(2026-f140cb16b6)	Nessus	Fedora Local Security Checks	2026/6/14	2026/6/14	low
321061	SUSE SLES15 セキュリティ更新:python-Django(SUSE-SU-2026:2318-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	low
318515	Linux Distros Unpatched Vulnerability : CVE-2026-48587	Nessus	Misc.	2026/6/3	2026/6/25	low
321071	openSUSE 16 Security Update : python-Django (openSUSE-SU-2026:20937-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	low
321077	Fedora 44 : python-django5 (2026-e4146022ce)	Nessus	Fedora Local Security Checks	2026/6/14	2026/6/14	low
321084	Fedora 43 : python-django5 (2026-f140cb16b6)	Nessus	Fedora Local Security Checks	2026/6/14	2026/6/14	low
321061	SUSE SLES15 Security Update : python-Django (SUSE-SU-2026:2318-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	low
318785	Python Library Django 5.2.x < 5.2.15 / 6.0.x < 6.0.6 Multiple Vulnerabilities	Nessus	Misc.	2026/6/5	2026/6/8	low

检测

插件搜索

low

low

low

low

low

low

low

low

low

low

low

low

low

low

low

low

low

low