Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 之前 6.0.5 和 5.2 之前 5.2.14中6.0发现了一个问题。如果会话未经过修改，但“SESSION_SAVE_EVERY_REQUEST”为“True”，则响应头不会随 cookie 发生变化。在用户访问缓存的公共页面后，远程攻击者可窃取该用户的会话。以前，不受支持的 Django 系列（如 5.0.x、 4.1.x和 3.2.x）未进行评估，因此可能也受到影响。Django 在此感谢 Cantina 报告此问题。（CVE-2026-35192）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测到的 Django Python 程序包版本为 5.2.x 低于 5.2.14 或 6.0.x 低于 6.0.5. 因此，该应用程序受到多个漏洞的影响，其中包括：

  - 包含缺少或低估 Content-Length 标头的 ASGI 请求可绕过FILE_UPLOAD_MAX_MEMORY_SIZE限制，从而可能将大文件加载到内存中并导致服务降级。（CVE-2026-5766）

  - django.middleware.cache.UpdateCacheMiddleware 错误缓存 Vary 标头包含星号（“*”）的请求。这可能导致存储和服务隐私数据。（CVE-2026-6907）

  - 如果会话未经过修改，响应头不会随 cookie 变化，但 SESSION_SAVE_EVERY_REQUEST为 True。
    在用户访问缓存的公共页面后，远程攻击者可窃取该用户的会话。（CVE-2026-35192）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在之前6.0.5和5.2之前5.2.14發現6.0問題。如果工作階段未修改，則回應標頭不會在 cookie 上變化，但 'SESSION_SAVE_EVERY_REQUEST' 為 'True'。遠端攻擊者可在使用者造訪快取的公用頁面後竊取使用者的工作階段。先前，不支援的Django系列（如 5.0.x、 4.1.x、和 3.2.x）沒有被評估，也可能受到影響。Django 在此感謝 Cantina 報告此問題。（CVE-2026-35192）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測到的 Django Python 套件版本在之前或6.0.x之前6.0.5。5.2.x5.2.14 因此，該主機會受到多個弱點影響，包括：

  - 缺少或低估 Content-Length 標頭的 ASGI 請求可能會繞過FILE_UPLOAD_MAX_MEMORY_SIZE限制，可能會將大型檔案載入記憶體並導致服務降級。（CVE-2026-5766）

  - django.middleware.cache.UpdateCacheMiddleware 錯誤地快取了 Vary 標頭包含星號 （'*'） 的請求。這可能會導致私人資料被儲存和提供。（CVE-2026-6907）

  - 如果未修改階段作業，則回應標頭不會因 cookie 而變化，但 SESSION_SAVE_EVERY_REQUEST 為 True。
    遠端攻擊者可在使用者造訪快取的公用頁面後竊取使用者的工作階段。（CVE-2026-35192）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 22.04 LTS/24.04 LTS/25.10/26.04 LTS 主機上安裝的一個套件受到 USN-8232-1 公告中提及的多個弱點影響。

    據發現，當啟用 SESSION_SAVE_EVERY_REQUEST 時未修改工作階段時，Django 不會改變 cookie 上的快取回應標頭。遠端攻擊者可能會利用此問題來竊取使用者的工作階段。（CVE-2026-35192）

    Kyle Agronick 和 Jacob Walls 發現 Django 錯誤地處理了缺少或低估 Content-Length 標頭值的 ASGI 請求。遠端攻擊者可能會利用此問題導致 Django 使用過多的資源，從而導致拒絕服務。（CVE-2026-5766）

    Ahmad Sadeddin 發現 Django UpdateCacheMiddleware 錯誤地快取了 Vary 標頭包含星號的請求。遠端攻擊者可能利用此問題取得敏感資訊。(CVE-2026-6907)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Ubunt 22.04 LTS/24.04 LTS/25.10/26.04 LTS 主机上安装的一个程序包受到 USN-8232-1 公告中提及的多个漏洞影响。

    已发现在启用SESSION_SAVE_EVERY_REQUEST的同时未修改会话时，Django 未更改 cookie 上的缓存响应头。远程攻击者可能利用此问题窃取用户的会话。（CVE-2026-35192）

    Kyle Agronick 和 Jacob Walls 发现 Django 未正确处理 Content-Length 标头值缺失或被低估的 ASGI 请求。远程攻击者可利用此问题造成 Django 使用过多资源，从而导致拒绝服务。（CVE-2026-5766）

    Ahmad Sadeddin 发现 Django UpdateCacheMiddleware 未正确缓存其中 Vary 标头包含星号的请求。远程攻击者可能会利用此问题来获取敏感信息。(CVE-2026-6907)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートの Ubuntu 22.04 LTS/24.04 LTS/25.10/26.04 ホストには、USN-8232-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    SESSION_SAVE_EVERY_REQUEST が有効なときにセッションが変更されない場合、Django がクッキー上でキャッシュされた応答ヘッダーを変更しないことが判明しました。リモートの攻撃者がこの問題を利用して、ユーザーのセッションを盗む可能性があります。(CVE-2026-35192)

    Kyle Agronick 氏および Jacob Walls 氏は、Django が、Content-Length ヘッダー値がないか過小評価された ASGI リクエストを適切に処理していないことを発見しました。リモートの攻撃者がこの問題を悪用してDjangoに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。(CVE-2026-5766)

    Ahmad Sadeddin 氏は、Django UpdateCacheMiddleware が、Vary ヘッダーにアスタリスクが含まれているリクエストを不適切にキャッシュしていたことを発見しました。リモートの攻撃者がこの問題を悪用して、秘密情報を取得する可能性があります。(CVE-2026-6907)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20704-1 アドバイザリで言及されています。

    python-Django の変更点:

    - CVE-2026-5766:ファイルアップロード制限のバイパスを介した ASGI リクエストの潜在的なサービス拒否の脆弱性(bsc#1264153)
    - CVE-2026-35192:パブリックにキャッシュされたページとSESSION_SAVE_EVERY_REQUESTによるセッション固定(bsc#1264154)
    - CVE-2026-6907:UpdateCacheMiddleware の Vary: * の不適切な処理によるプライベートデータの潜在的な漏洩(bsc#1264152)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 6.0.5より前、5.2.14より前の5.26.0で問題が発見されました。セッションが変更されていない場合、応答ヘッダーはクッキー上で変化しませんが、「SESSION_SAVE_EVERY_REQUEST」は「True」です。リモートの攻撃者が、ユーザーがキャッシュされた公開ページにアクセスした後に、そのユーザーのセッションを盗む可能性があります。以前は、サポートされていない Django シリーズ( 5.0.x、 4.1.x、 3.2.x など)は評価されておらず、影響を受ける可能性もあります。Django は、この問題を報告してくれた Cantina に感謝の意を表します。(CVE-2026-35192)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出されたDjango Pythonパッケージのバージョンは、5.2.14より前の5.2.x、または6.0.5より前の6.0.xです。そのため、以下を含む複数の脆弱性による影響を受けます:

  - Content-Length ヘッダーがないか控えめに表現されている ASGI リクエストは、FILE_UPLOAD_MAX_MEMORY_SIZE制限をバイパスして、大きなファイルをメモリにロードし、サービスの低下を引き起こす可能性があります。(CVE-2026-5766)

  - django.middleware.cache.UpdateCacheMiddleware は、Vary ヘッダーにアスタリスク(「*」)が含まれているリクエストを誤ってキャッシュします。これにより、プライベートデータが保存および提供される可能性があります。(CVE-2026-6907)

  - セッションが変更されない場合、応答ヘッダーはクッキーによって変化しませんが、SESSION_SAVE_EVERY_REQUESTは True になります。
    リモートの攻撃者が、ユーザーがキャッシュされた公開ページにアクセスした後に、そのユーザーのセッションを盗む可能性があります。(CVE-2026-35192)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 ホストには、SUSE-SU-2026:1740-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    python-Django のこの更新は、次の問題を修正します

    - CVE-2026-3902:「ASGIRequest」リクエストの 2 つのヘッダーバリアントの曖昧なマッピングを悪用することによるヘッダーなりすまし(bsc#1261729)。
    - CVE-2026-4277:インラインモデルインスタンスの権限が、GenericInlineModelAdmin(bsc#1261731)で偽造された POST データを送信する際に検証されませんでした。
    - CVE-2026-4292:ModelAdmin.list_editable を使用する管理者変更リストフォームは、偽造された POST データを介して、新しいインスタンスの作成を間違って許可していました(bsc#1261732)。
    - CVE-2026-5766:ファイルアップロード制限のバイパスを介した ASGI リクエストの潜在的なサービス拒否の脆弱性(bsc#1264153)。
    - CVE-2026-6907:「UpdateCacheMiddleware」の中の「Vary: *」の処理が正しくないため、プライベートデータが漏洩する可能性があります(bsc#1264152)。
    - CVE-2026-33033:ASGI リクエストの Content-Length ヘッダーがないか過小評価されることによるサービス拒否(bsc#1261722)。
    - CVE-2026-33034:Content-Length ヘッダーがないか控えめに表現されている ASGI リクエストは、HttpRequest.body を読み取る際に「DATA_UPLOAD_MAX_MEMORY_SIZE」制限をバイパスする可能性があります(bsc#1261724)。
    - CVE-2026-35192:パブリックキャッシュページおよび「SESSION_SAVE_EVERY_REQUEST」によるセッション固定(bsc#1264154)。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote Ubuntu 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS host has a package installed that is affected by multiple vulnerabilities as referenced in the USN-8232-1 advisory.

    It was discovered that Django did not vary cached response headers on cookies when sessions were not     modified while SESSION_SAVE_EVERY_REQUEST was enabled. A remote attacker could possibly use this issue to     steal a user's session. (CVE-2026-35192)

    Kyle Agronick and Jacob Walls discovered that Django incorrectly handled ASGI requests with missing or     understated Content-Length header values. A remote attacker could possibly use this issue to cause Django     to use excessive resources, leading to a denial of service. (CVE-2026-5766)

    Ahmad Sadeddin discovered that Django UpdateCacheMiddleware incorrectly cached requests where the Vary     header contained an asterisk. A remote attacker could possibly use this issue to obtain sensitive     information. (CVE-2026-6907)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in 6.0 before 6.0.5 and 5.2 before 5.2.14. Response headers do not vary on cookies     if a session is not modified, but `SESSION_SAVE_EVERY_REQUEST` is `True`. A remote attacker can steal a     user's session after that user visits a cached public page. Earlier, unsupported Django series (such as     5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Cantina     for reporting this issue. (CVE-2026-35192)

Note that Nessus relies on the presence of the package as reported by the vendor.

The detected version of the Django Python package is 5.2.x prior to 5.2.14 or 6.0.x prior to 6.0.5. It is, therefore, affected by multiple vulnerabilities, including:

  - ASGI requests with a missing or understated Content-Length header can bypass the FILE_UPLOAD_MAX_MEMORY_SIZE     limit, potentially loading large files into memory and causing service degradation. (CVE-2026-5766)

  - django.middleware.cache.UpdateCacheMiddleware erroneously caches requests where the Vary header contained an     asterisk ('*'). This can lead to private data being stored and served. (CVE-2026-6907)

  - Response headers do not vary on cookies if a session is not modified, but SESSION_SAVE_EVERY_REQUEST is True.
    A remote attacker can steal a user's session after that user visits a cached public page. (CVE-2026-35192)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:1740-1 advisory.

    This update for python-Django fixes the following issues

    - CVE-2026-3902: headers spoofing by exploiting an ambiguous mapping of two header variants in     `ASGIRequest` requests       (bsc#1261729).
    - CVE-2026-4277: permissions on inline model instances were not validated on submission of forged POST     data in       GenericInlineModelAdmin (bsc#1261731).
    - CVE-2026-4292: admin changelist forms using ModelAdmin.list_editable incorrectly allowed new instances     to be created       via forged POST data (bsc#1261732).
    - CVE-2026-5766: potential denial-of-service vulnerability in ASGI requests via file upload limit bypass     (bsc#1264153).
    - CVE-2026-6907: potential exposure of private data due to incorrect handling of `Vary: *` in     `UpdateCacheMiddleware`       (bsc#1264152).
    - CVE-2026-33033: denial of service via missing or understated Content-Length header in ASGI requests     (bsc#1261722).
    - CVE-2026-33034: ASGI requests with a missing or understated Content-Length header could bypass the       `DATA_UPLOAD_MAX_MEMORY_SIZE` limit when reading HttpRequest.body (bsc#1261724).
    - CVE-2026-35192: session fixation via public cached pages and `SESSION_SAVE_EVERY_REQUEST` (bsc#1264154).

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has a package installed that is affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:20704-1 advisory.

    Changes in python-Django:

    - CVE-2026-5766: Potential denial-of-service vulnerability in ASGI requests       via file upload limit bypass (bsc#1264153)
    - CVE-2026-35192: Session fixation via public cached pages and       SESSION_SAVE_EVERY_REQUEST (bsc#1264154)
    - CVE-2026-6907: Potential exposure of private data due to incorrect handling       of Vary: * in UpdateCacheMiddleware (bsc#1264152)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
312270	Linux Distros 未修补的漏洞：CVE-2026-35192	Nessus	Misc.	2026/5/5	2026/5/8	low
313213	Python 库 Django 5.2.x < 5.2.14 / 6.0.x < 6.0.5 多种漏洞	Nessus	Misc.	2026/5/8	2026/5/11	medium
312270	Linux Distros 未修補的弱點：CVE-2026-35192	Nessus	Misc.	2026/5/5	2026/5/8	low
313213	Python 函式庫 Django 5.2.x < 5.2.14 / 6.0.x < 6.0.5 多個漏洞	Nessus	Misc.	2026/5/8	2026/5/11	medium
312650	Ubuntu 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS：Django 弱點 (USN-8232-1)	Nessus	Ubuntu Local Security Checks	2026/5/6	2026/5/8	medium
312650	Ubuntu 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS：Django 漏洞 (USN-8232-1)	Nessus	Ubuntu Local Security Checks	2026/5/6	2026/5/8	medium
312650	Ubuntu 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS : Django の脆弱性 (USN-8232-1)	Nessus	Ubuntu Local Security Checks	2026/5/6	2026/5/8	medium
313704	openSUSE 16 セキュリティ更新:python-Django(openSUSE-SU-2026:20704-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium
312270	Linux Distros のパッチ未適用の脆弱性: CVE-2026-35192	Nessus	Misc.	2026/5/5	2026/5/8	low
313213	Python ライブラリ Django 5.2.x < 5.2.14 / 6.0.x < 6.0.5 複数の脆弱性	Nessus	Misc.	2026/5/8	2026/5/11	medium
313665	SUSE SLES15 セキュリティ更新:python-Django(SUSE-SU-2026:1740-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium
312650	Ubuntu 22.04 LTS / 24.04 LTS / 25.10 / 26.04 LTS : Django vulnerabilities (USN-8232-1)	Nessus	Ubuntu Local Security Checks	2026/5/6	2026/5/8	medium
312270	Linux Distros Unpatched Vulnerability : CVE-2026-35192	Nessus	Misc.	2026/5/5	2026/5/8	low
313213	Python Library Django 5.2.x < 5.2.14 / 6.0.x < 6.0.5 Multiple Vulnerabilities	Nessus	Misc.	2026/5/8	2026/5/11	medium
313665	SUSE SLES15 Security Update : python-Django (SUSE-SU-2026:1740-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium
313704	openSUSE 16 Security Update : python-Django (openSUSE-SU-2026:20704-1)	Nessus	SuSE Local Security Checks	2026/5/10	2026/5/10	medium

检测

插件搜索

low

medium

low

medium

medium

medium

medium

medium

low

medium

medium

medium

low

medium

medium

medium