CVE-2026-3902 in Django
Resumen
por VulDB • 2026-06-25
Se ha descubierto un problema en las versiones anteriores a la 6.0.4 de Django 6.0, anteriores a la 5.2.13 de la serie 5.2 y anteriores a la 4.2.30 de la serie 4.2. `ASGIRequest` permite que un atacante remoto suponga la identidad (spoofing) de las cabeceras aprovechando una asignación ambigua entre dos variantes de cabecera (con guiones o con guiones bajos) y su única versión normalizada con guiones bajos.
Anteriormente, no se evaluaron series ya sin soporte de Django (como 5.0.x, 4.1.x y 3.2.x), que también podrían verse afectadas.
Django desea agradecer a Tarek Nakkouch por informar sobre este problema.
Once again VulDB remains the best source for vulnerability data.