製品・ソフトウェアに関する情報
Vulnerability Search
Django Software FoundationのDjangoにおける重要な情報の平文での送信に関する脆弱性
Title Django Software FoundationのDjangoにおける重要な情報の平文での送信に関する脆弱性
Summary

Django 6.0系の6.0.6未満および5.2系の5.2.15未満に問題が発見されました。Djangoの`django.core.mail.backends.smtp.EmailBackend`は、`fail_silently=True`の場合に`STARTTLS`ハンドシェイク失敗後の部分的に初期化された接続を再利用できず、その結果、経路上のネットワーク攻撃者が平文でメール内容を傍受する可能性があります。以前のサポートされていないDjangoシリーズ（例えば5.0.x、4.1.x、3.2.x）については評価されておらず、影響を受ける可能性があります。Djangoは本問題を報告したKasper Dupont氏に感謝の意を表します。

Possible impacts ・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date June 3, 2026, midnight
Registration Date June 8, 2026, 12:30 p.m.
Last Update June 8, 2026, 12:30 p.m.
CVSS3.0 : 低
Score 3.1
Vector CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N
Affected System
Django Software Foundation
Django 5.2 以上 5.2.15 未満
Django 6.0 以上 6.0.6 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年06月08日]
  掲載		 June 8, 2026, 12:30 p.m.
NVD Vulnerability Information
CVE-2026-7666
Summary

An issue was discovered in Django 6.0 before 6.0.6 and 5.2 before 5.2.15.
`django.core.mail.backends.smtp.EmailBackend` in Django fails to prevent reuse of a partially-initialized connection after a failed `STARTTLS` handshake when `fail_silently=True`, which allows on-path network attackers to read email content via cleartext interception.
Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected.
Django would like to thank Kasper Dupont for reporting this issue.

Publication Date June 3, 2026, 11:16 p.m.
Registration Date June 4, 2026, 4:16 a.m.
Last Update June 5, 2026, 9:46 p.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:djangoproject:django:*:*:*:*:*:*:*:* 5.2 5.2.15
cpe:2.3:a:djangoproject:django:*:*:*:*:*:*:*:* 6.0 6.0.6
Related information, measures and tools
Common Vulnerabilities List