Розробникам на Django необхідно перевірити налаштування кешування, оскільки вразливість CVE-2026-48588 могла призвести до витоку конфіденційних даних через спільний кеш. Це оновлення виправляє логіку обробки заголовків, що відповідають за сесії та персоналізацію.
7 липня 2026 року опубліковано бюлетень щодо помилки в UpdateCacheMiddleware та cache_page. Раніше ці компоненти не блокували кешування відповідей із заголовками Set-Cookie та Vary: Cookie, якщо вхідний запит уже містив не пов'язані з відповіддю cookie (наприклад, налаштування теми або мови). Це дозволяло зберігати відповіді, що містять чутливі дані, у спільному кеші, роблячи їх доступними для інших користувачів.
Рекомендації:
- Оновіть Django до версії, що містить виправлення CVE-2026-48588.
- Проведіть аудит налаштувань кешування, особливо якщо ви використовуєте middleware для кешування сторінок у проектах з авторизацією користувачів.
Що це означає для бізнесу
Помилка в Django (CVE-2026-48588) при кешуванні відповідей може призвести до витоку конфіденційних даних через спільний кеш. Для розробників та власників бізнесу це означає ризик того, що персоналізовані дані користувачів можуть стати доступними іншим особам, якщо налаштування кешування middleware не враховують заголовки Set-Cookie.
Практичний крок: Оновіть Django та проведіть аудит налаштувань кешування, особливо для сторінок з авторизацією. Замовте в Softline аудит безпеки вебдодатку, щоб переконатися, що механізми кешування не створюють ризиків витоку конфіденційної інформації.
Використані джерела
- djangoproject.com (djangoproject.com)