「Django」にセキュリティ更新 - 複数の脆弱性に対応

ウェブアプリケーションフレームワーク「Django」の開発チームは現地時間2026年7月7日、複数の脆弱性を解消するセキュリティアップデートをリリースした。

「同6.0.7」「同5.2.16」にて3件の脆弱性「CVE-2026-48588」「CVE-2026-53877」「CVE-2026-53878」へ対処したもの。開発チームは、いずれも重要度を「低（Low）」と評価しているが、できるだけ早く更新するよう求めている。

「CVE-2026-53877」は、GDALの仮想ファイルシステムに格納されているラスタファイルの処理において域外のメモリを読み出す脆弱性。隣接するヒープメモリの漏洩やセグメンテーション違反が生じるおそれがある。

またドメイン名の検証処理に脆弱性「CVE-2026-53878」が判明。ドメイン名に改行が含まれる場合も拒否せず処理するおそれがある。「Django」のフォームフィールドを介さずに検証処理を行った場合に影響を受ける。

一方「CVE-2026-48588」は、キャッシュ関連の処理に起因する脆弱性。リクエストに無関係なCookieが含まれる場合、機密性の高いCookieを設定するレスポンスが共有キャッシュへ保存され、第三者にCookieの内容が読み取られるおそれがあるという。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは、「CVE-2026-53877」が「6.3」、「CVE-2026-53878」が「5.3」で、CVSSにおける重要度はいずれも「中（Medium）」。「CVE-2026-48588」は「2.3」で「低（Low）」相当と評価されている。

（Security NEXT - 2026/07/14 ）ツイート