Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Патч
Опубликована

CVE-2026-53878

Header injection possibility since DomainNameValidator accepted newlines in input

Публикация: 07.07.2026·Обновлена: 10.09.2026, 06:51·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

An issue was discovered in Django 6.0 before 6.0.7 and 5.2 before 5.2.16. `DomainNameValidator` does not prohibit newlines in domain names (unless used via a form field, since `CharField` strips newlines). If an application uses values with newlines in an HTTP response, header injection can occur. Django itself is unaffected because `HttpResponse` prohibits newlines in HTTP headers. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Bence Nagy for reporting this issue.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

djangoproject / Django 

{
  "status": "affected",
  "version": "6.0",
  "lessThan": "6.0.7",
  "versionType": "python"
}
{
  "status": "unaffected",
  "version": "6.0.7",
  "versionType": "python"
}
{
  "status": "affected",
  "version": "5.2",
  "lessThan": "5.2.16",
  "versionType": "python"
}
{
  "status": "unaffected",
  "version": "5.2.16",
  "versionType": "python"
}

django PyPI

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "5.2.16"
}

django PyPI

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "6.0.7",
  "versionStartIncluding": "6.0.0"
}

django PyPI

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "5.2.16",
  "versionStartIncluding": "5.2"
}
{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "6.0.7",
  "versionStartIncluding": "6.0"
}

CVSS: оценки и векторы

CVSS 3.1 · cve6.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователятребуется
S · Область воздействияменяется
C · Конфиденциальностьнизкое
I · Целостностьнизкое
A · Доступностьнет
CVSS 4.0 · cve5.3
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиине нужны
UI · Участие пользователяпассивное
VC · Конфиденциальность уязвимой системынет
VI · Целостность уязвимой системынет
VA · Доступность уязвимой системынет
SC · Конфиденциальность связанной системынизкое
SI · Целостность связанной системынизкое
SA · Доступность связанной системынет

Классы CWE

CWE-144 · Неправильная нейтрализация линейных разграничителей

Источники и ссылки

Исправление · docs.djangoproject.com · osvМатериал · groups.google.com · cveИсправление · www.djangoproject.com · osvМатериал · nvd.nist.gov · osvМатериал · github.com · osvМатериал · github.com · osvМатериал · github.com · osvМатериал · docs.djangoproject.com · osvМатериал · github.com · osvМатериал · github.com · osvМатериал · www.djangoproject.com · osvМатериал · github.com · osvCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-02T21:13:08.081733+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T21:17:58.192785+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T21:17:58.192785+00:00"
  },
  "affected": [
    "cve",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T21:17:58.192785+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-02T21:13:08.081733+00:00"
  },
  "references": [
    "cve",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T21:17:58.192785+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены03.11.2026, 00:13
  2. Появились сведения об исправлении02.11.2026, 15:11
  3. Данные обновлены02.11.2026, 13:39
  4. Данные обновлены02.11.2026, 00:11
  5. Данные обновлены31.10.2026, 11:58
  6. Данные обновлены29.10.2026, 12:32
  7. Опубликована29.10.2026, 00:18

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-113733
Password hash disclosure to "view only" admin users with custom user models
djangoproject / Django
Низкий2.1
—
Патч
03.11.2026
CVE-2026-113593
Potential exposure of private data via empty and missing Vary headers
djangoproject / Django
Низкий2.3
—
Патч
03.11.2026
CVE-2026-111362
Server-side request forgery via crs member of GeoJSON geometries
djangoproject / Django
Средний6.9
—
Патч
03.11.2026
CVE-2026-108147
Potential memory exhaustion in MultiPartParser via base64-encoded file upload
djangoproject / Django
Средний6.9
—
Патч
03.11.2026
CVE-2026-114582
Server-side request forgery via SpatialReference string input
djangoproject / Django
Средний6.9
—
Патч
03.11.2026
CVE-2026-53878: Header injection possibility since DomainNameValidator accepted newlines in input · CVE Радар