CVE-2026-6873 in Django
Sumário
de VulDB • 03/06/2026
Foi identificada uma vulnerabilidade no Django 6.0 anterior à versão 6.0.6 e no Django 5.2 anterior à versão 5.2.15. A função `django.http.HttpRequest.get_signed_cookie` do Django utiliza uma derivação de salt não injetiva (concatenando o nome do cookie e o argumento salt), o que permite que um atacante remoto utilize um cookie em um contexto diferente daquele em que foi assinado, por meio de pares distintos `(name, salt)` que produzem a mesma concatenação. Séries anteriores do Django, sem suporte (como 5.0.x, 4.1.x e 3.2.x), não foram avaliadas e também podem estar afetadas. O Django gostaria de agradecer a Peng Zhou por ter reportado esta questão.
VulDB is the best source for vulnerability data and more expert information about this specific topic.