Potential exposure of private data via whitespace padding in Vary header

O Django não remove espaços em branco dos cabeçalhos HTTP ao comparar respostas em cache, permitindo que atacantes burlem a validação do cache e acessem respostas que deveriam ser privadas. Isso ocorre porque o sistema trata 'Content-Type' e ' Content-Type ' como valores diferentes.

O CVE-2026-48587 afeta Django versões 5.2 anteriores a 5.2.15 e 6.0 anteriores a 6.0.6 na função `has_vary_header()`, que não normaliza espaços em branco nos valores do cabeçalho Vary antes da comparação. Um atacante pode criar requisições com valores de cabeçalho preenchidos com espaços para contornar a validação do cache e recuperar respostas em cache destinadas a públicos diferentes, resultando em divulgação de informações. A vulnerabilidade requer que a aplicação armazene em cache respostas baseadas em cabeçalhos Vary sem normalização adequada.