Veille sécuritéBackend & données
P4Faible
Certaines requêtes omettant un en-tête Vary et celles fournissant cet en-tête avec une valeur vide pouvaient recevoir la même clé de cache. Cette collision pouvait exposer des données privées mises en cache pour une autre requête ; mettre à niveau vers une version corrigée.
Django
IdentifiantCVE-2026-113593
GravitéFaible
Exploitationnon connue / non déterminée
CorrectifDjango 6.1.3, 6.0.10, 5.2.19
Source : CVE-2026-113593 — NVD
Analyse technique
Le problème concerne UpdateCacheMiddleware et le décorateur cache_page() lorsqu’ils traitent les en-têtes listés dans Vary.
Impact, versions et correctif
Événement datéL’avis de sécurité Django et la fiche NVD datent l’annonce du 3 novembre 2026, dans la période demandée.
ImpactDans les circonstances décrites, un utilisateur distant peut accéder à des données privées mises en cache pour une autre requête.
Versions affectéesDjango 6.1 avant 6.1.3 ; 6.0 avant 6.0.10 ; 5.2 avant 5.2.19. Les branches antérieures non prises en charge n’ont pas été évaluées et peuvent également être concernées.
Version corrigéeDjango 6.1.3, 6.0.10, 5.2.19
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS2.3
Publication2026-11-03
Action recommandée
Mettre à niveau vers Django 6.1.3, 6.0.10 ou 5.2.19, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).