Django sérülékenységek

CH azonosító

CH-4359

Angol cím

Django Multiple Vulnerabilities

Felfedezés dátuma

2011.02.10.

Súlyosság

Alacsony

Érintett rendszerek

Django
Django Software Foundation

Érintett verziók

Django 1.1.x, 1.2.x

Összefoglaló

A Django több olyan sérülékenységét jelentették, amelyeket a támadók kihasználhatnak egyes biztonsági szabályok megkerülésére, valamint script beszúrásos (script injection) és cross-site request forgery (XSRF/CSRF) támadásokra.

Leírás

  1. A cross-site request forgery védelem nem ellenőrzi megfelelően a kéréseket, bizonyos „X-Requested-With” fejlécek esetén, ami kihasználható cross-site request forgery támadásokra a böngésző bizonyos bővítményeinek használatával vagy rejtett fejléceket tartalmazó cross-domain HTTP kérések küldésével.
  2. A feltöltendő fájlok nevein keresztül átadott bemeneti adatok fájl mezőn belüli ellenőrzése nem megfelelő, mielőtt felhasználnák azokat. Ez kihasználható tetszőleges HTML és script kód futtatására a felhasználó böngészőjének munkamenetében, az érintett oldallal kapcsolatosan, a rosszindulatú adat megtekintésekor.
    A sikeres kihasználás feltétele, hogy a fájl háttértároló ne ellenőrizze a használt fájl nevet (nem az alapértelmezett fájl háttértárolók érintettek).
  3. A fájl-alapú munkafolyamat tároló rendszerek nem ellenőrzik megfelelően a munkafolyamat cookie-ban megadott kulcsot, ami kihasználható könyvtár bejárásos támadások indítására.
    Megjegyzés: Ez csak az olyan rendszer telepítéseket érinti, amelyek a Python „os.path.sep” -ban meghatározott útvonal elválasztóktól eltérőeket használnak (ilyenek például a Windows rendszerek).

Megoldás

Frissítsen a legújabb verzióra

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-24993 – Microsoft Windows NTFS Heap-Based Buffer Overflow sebezhetősége
CVE-2025-24991 – Microsoft Windows NTFS Out-Of-Bounds Read sebezhetősége
CVE-2025-24985 – Microsoft Windows Fast FAT File System Driver Integer Overflow sebezhetősége
CVE-2025-24984 – Microsoft Windows NTFS Information Disclosure sebezhetősége
CVE-2025-24983 – Microsoft Windows Win32k Use-After-Free sebezhetősége
CVE-2025-26633 – Microsoft Windows Management Console (MMC) Improper Neutralization sebezhetősége
CVE-2025-27363 – FreeType srülékenysége
CVE-2025-24201 – Apple WebKit sérülékenysége
CVE-2024-13161 – Ivanti Endpoint Manager (EPM) Absolute Path Traversal sebezhetősége
Tovább a sérülékenységekhez »