Potential exposure of private data via whitespace padding in Vary header

Django no elimina espacios en blanco de los encabezados HTTP al comparar respuestas en caché, lo que permite a los atacantes eludir la validación del caché y acceder a respuestas que deberían ser privadas. Esto ocurre porque el sistema trata 'Content-Type' y ' Content-Type ' como valores diferentes.

CVE-2026-48587 afecta a Django versiones 5.2 anteriores a 5.2.15 y 6.0 anteriores a 6.0.6 en la función `has_vary_header()`, que no normaliza espacios en blanco en los valores del encabezado Vary antes de la comparación. Un atacante puede crear solicitudes con valores de encabezado rellenados con espacios para eludir la validación del caché y recuperar respuestas en caché destinadas a audiencias diferentes, lo que resulta en divulgación de información. La vulnerabilidad requiere que la aplicación almacene en caché respuestas basadas en encabezados Vary sin normalización adecuada.