製品・ソフトウェアに関する情報
Vulnerability Search
Django Software FoundationのDjangoにおけるデジタル署名の検証に関する脆弱性
Title Django Software FoundationのDjangoにおけるデジタル署名の検証に関する脆弱性
Summary

Django 6.0.6 より前の 6.0 および 5.2.15 より前の 5.2 に問題が発見されました。Django の `django.http.HttpRequest.get_signed_cookie` は、非単射のソルト派生（クッキー名とソルト引数を連結する方式）を使用しています。これにより、リモートの攻撃者が異なる `(name, salt)` ペアが同じ連結結果を生成することを利用して、署名されたコンテキストとは異なるコンテキストでクッキーを使用できる可能性があります。以前のサポート対象外の Django シリーズ（5.0.x、4.1.x、3.2.x など）も評価されておらず、影響を受ける可能性があります。Django は本問題の報告者である Peng Zhou に感謝しています。

Possible impacts ・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date June 3, 2026, midnight
Registration Date June 8, 2026, 12:30 p.m.
Last Update June 8, 2026, 12:30 p.m.
CVSS3.0 : 警告
Score 4.3
Vector CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Affected System
Django Software Foundation
Django 5.2 以上 5.2.15 未満
Django 6.0 以上 6.0.6 未満
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2026年06月08日]
  掲載		 June 8, 2026, 12:30 p.m.
NVD Vulnerability Information
CVE-2026-6873
Summary

An issue was discovered in Django 6.0 before 6.0.6 and 5.2 before 5.2.15.
`django.http.HttpRequest.get_signed_cookie` in Django uses a non-injective salt derivation (concatenating the cookie name and salt argument), which allows a remote attacker to use a cookie in a context different from the one where it was signed, via distinct `(name, salt)` pairs that produce the same concatenation.
Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected.
Django would like to thank Peng Zhou for reporting this issue.

Publication Date June 3, 2026, 11:16 p.m.
Registration Date June 4, 2026, 4:16 a.m.
Last Update June 5, 2026, 9:58 p.m.
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:djangoproject:django:*:*:*:*:*:*:*:* 5.2 5.2.15
cpe:2.3:a:djangoproject:django:*:*:*:*:*:*:*:* 6.0 6.0.6
Related information, measures and tools
Common Vulnerabilities List