つみかさね

CVE-2026-3902

High(7.5)

CVE-2026-3902 — Django ASGIヘッダースプーフィング

公開日: 2026-04-21データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
DjangoDjango Software Foundation< 6.0.4 / < 5.2.13 / < 4.2.30

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1DjangoをASGI環境で運用しているか確認する
  2. 2該当バージョンの場合はDjango 6.0.4 / 5.2.13 / 4.2.30へアップデートする
  3. 3ヘッダーベースの認証・認可ロジックがある場合は影響を確認する

影響対象

Django ASGI利用者

補足

  • -WSGI環境では影響を受けません。ASGI利用者のみ対応が必要です
CVEDjangoASGIヘッダースプーフィングPython

概要

DjangoのASGIRequest処理において、ヘッダースプーフィングの脆弱性が存在します。HTTPヘッダー名のハイフン（-）とアンダースコア（_）の2つのバリアントが、内部的にアンダースコア付きの単一バージョンにマッピングされる際の曖昧さを悪用し、リモート攻撃者がヘッダーを偽装できます。Django 6.0.4 / 5.2.13 / 4.2.30で修正されています。

CVSSベクトル

項目値
CVSSスコア7.5（High）
攻撃元区分ネットワーク
攻撃条件の複雑さ低
必要な特権不要
ユーザー関与不要
CWECWE-436（ヘッダー解釈の不整合）

影響を受けるソフトウェア

製品ベンダー影響バージョン
DjangoDjango Software Foundation6.0〜6.0.3, 5.2〜5.2.12, 4.2〜4.2.29

修正バージョンと回避策

  • 修正: Django 6.0.4 / 5.2.13 / 4.2.30
  • 回避策: WSGI環境ではこの脆弱性の影響を受けない。ASGI利用時はアップデートを推奨

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-33034Django ASGI Content-Length不正によるDoSCVSS 7.5CVE-2026-33033Django MultiPartParser DoSCVSS 6.5CVE-2026-4277Django GenericInlineModelAdmin権限バイパスCVSS 2.3

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-3902
GHSA:https://github.com/advisories/GHSA-mvfq-ggxm-9mc5
Django:https://www.djangoproject.com/weblog/2026/apr/07/security-releases/
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。