CVE-2026-53878
| Summary |
An issue was discovered in Django 6.0 before 6.0.7 and 5.2 before 5.2.16.
`DomainNameValidator` does not prohibit newlines in domain names (unless used via a form field, since `CharField` strips newlines). If an application uses values with newlines in an HTTP response, header injection can occur. Django itself is unaffected because `HttpResponse` prohibits newlines in HTTP headers.
Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected.
Django would like to thank Bence Nagy for reporting this issue.
|
| Publication Date |
July 8, 2026, 12:16 a.m. |
| Registration Date |
July 8, 2026, 4:20 a.m. |
| Last Update |
July 9, 2026, 9:58 p.m. |
|
CVSS3.1 : MEDIUM
|
| スコア |
6.1
|
| Vector |
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
| 攻撃元区分(AV) |
ネットワーク |
| 攻撃条件の複雑さ(AC) |
低 |
| 攻撃に必要な特権レベル(PR) |
不要 |
| 利用者の関与(UI) |
要 |
| 影響の想定範囲(S) |
変更あり |
| 機密性への影響(C) |
低 |
| 完全性への影響(I) |
低 |
| 可用性への影響(A) |
なし |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:djangoproject:django:*:*:*:*:*:*:*:* |
5.2 |
|
|
5.2.16 |
| cpe:2.3:a:djangoproject:django:*:*:*:*:*:*:*:* |
6.0 |
|
|
6.0.7 |
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
Django Software FoundationのDjangoにおける行区切り文字の無害化に関する脆弱性
| Title |
Django Software FoundationのDjangoにおける行区切り文字の無害化に関する脆弱性
|
| Summary |
Django 6.0の6.0.7以前および5.2の5.2.16以前に問題が発見されました。`DomainNameValidator`はドメイン名内の改行を禁止していません（ただし、`CharField`が改行を取り除くため、フォームフィールド経由で使用される場合を除きます）。もしアプリケーションが改行を含む値をHTTPレスポンスで使用すると、ヘッダーインジェクションが発生する可能性があります。Django自体は`HttpResponse`がHTTPヘッダー内の改行を禁止しているため、影響を受けません。以前のサポートされていないDjangoシリーズ（5.0.x、4.1.x、3.2.xなど）は評価されておらず、影響を受けている可能性があります。Djangoはこの問題を報告してくれたBence Nagyに感謝しています。
|
| Possible impacts |
・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
July 7, 2026, midnight |
| Registration Date |
July 13, 2026, 11:36 a.m. |
| Last Update |
July 13, 2026, 11:36 a.m. |
Affected System
| Django Software Foundation |
|
Django 5.2 以上 5.2.16 未満
|
|
Django 6.0 以上 6.0.7 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年07月13日]
掲載 |
July 13, 2026, 11:36 a.m. |