python-django update version to 1.2.7 fixes several security issues including denial of service, CSRF and information leaks:
https://www.djangoproject.com/weblog/2011/sep/10/127/

Paul McMillan, Mozilla and the Django core team discovered several vulnerabilities in Django, a Python web framework :

  - CVE-2011-4136     When using memory-based sessions and caching, Django     sessions are stored directly in the root namespace of     the cache. When user data is stored in the same cache, a     remote user may take over a session.

  - CVE-2011-4137, CVE-2011-4138     Django's field type URLfield by default checks supplied     URL's by issuing a request to it, which doesn't time     out. A Denial of Service is possible by supplying     specially prepared URL's that keep the connection open     indefinately or fill the Django's server memory.

  - CVE-2011-4139     Django used X-Forwarded-Host headers to construct full     URL's. This header may not contain trusted input and     could be used to poison the cache.

  - CVE-2011-4140     The CSRF protection mechanism in Django does not     properly handle web-server configurations supporting     arbitrary HTTP Host headers, which allows remote     attackers to trigger unauthenticated forged requests.

python-django の 1.2.7 への更新バージョンは、いくつかのセキュリティ問題を修正します。これには、サービス拒否、CSRF、情報漏洩が含まれています：
https://www.djangoproject.com/weblog/2011/sep/10/127/

Paul McMillan、Mozilla 和 Django 核心团队发现 Python Web 框架 Django 中有多个漏洞。

- CVE-2011-4136 使用基于内存的会话及缓存时，Django 会话会直接存储在缓存的根命名空间中。若用户数据也存储在同一个缓存，远程用户便可接管会话。

- CVE-2011-4137、CVE-2011-4138 默认情况下，Django 的字段类型 URLfield 会发出请求并检查提供的 URL，请求不会超时。通过提供特别准备的 URL，使连接无限期开启或填满 Django 的服务器内存，可以造成拒绝服务。

- CVE-2011-4139 Django 使用 X-Forwarded-Host 标头建构完整的 URL。此标头可能未包含受信任的输入，且可用来使缓存中毒。

- CVE-2011-4140 Django 中的 CSRF 保护机制未正确处理支持任意 HTTP 主机标头的 Web 服务器配置，这会允许远程攻击者触发未经验证的伪造请求。

python-django 的 1.2.7 版更新可修正數個安全性問題，包括拒絕服務、CSRF 和資訊洩漏：
https://www.djangoproject.com/weblog/2011/sep/10/127/

Mozilla および Django のコアチームである Paul McMillan 氏は、Python の Web フレームワークである Django に、いくつかの脆弱性を発見しました：

  - CVE-2011-4136 メモリベースのセッションおよびキャッシングを使用している場合、Django セッションは、キャッシュのルート名前空間に直接保存されます。同じキャッシュにユーザーデータが保存されると、リモートユーザーがセッションを引き継ぐ可能性があります。

  - CVE-2011-4137、CVE-2011-4138 デフォルトでは、Django のフィールドタイプ URLfield は、指定された URL にリクエストを発行することで、その URL をチェックしますが、タイムアウトになりません。接続をいつまでも開いたままにしておくか、Django のサーバーメモリをいっぱいにするような、特別に準備された URL を指定することで、サービス拒否が引き起こされる可能性があります。

  - CVE-2011-4139 Django は、X-Forwarded-Host ヘッダーを使用して、完全な URL を構築しました。このヘッダーは、信頼できる入力を含んでいない場合があり、キャッシュをポイズニングするために使用される可能性があります。

  - CVE-2011-4140 Django での CSRF 保護メカニズムは、任意の HTTP ホストヘッダーをサポートする Web サーバーの構成を適切に処理していないため、リモートの攻撃者が、認証されていない偽造リクエストを発生させる可能性があります。

Paul McMillan、Mozilla 和 Django 核心團隊在 Python Web 架構 Django 中發現數個弱點。

- CVE-2011-4136 使用記憶體型工作階段及快取時，Django 工作階段會直接儲存在快取的 root 命名空間中。若使用者資料也儲存在同一個快取，遠端使用者便可接管工作階段。

- CVE-2011-4137、CVE-2011-4138 根據預設，Django 的欄位類型 URLfield 會發出要求並檢查提供的 URL，其不會逾時。透過特別準備的 URL，使連線無限期開啟或填滿 Django 的伺服器記憶體，可能造成拒絕服務。

- CVE-2011-4139 Django 使用 X-Forwarded-Host 標頭建構完整的 URL。此標頭可能未包含受信任的輸入，且可用來毒害快取。

- CVE-2011-4140 Django 中的 CSRF 保護機制未正確處理支援任意 HTTP 主機標頭的 Web 伺服器組態，從而可允許遠端攻擊者觸發未經驗證的偽造要求。

python-django 更新至版本 1.2.7，修复了多个安全问题，包括拒绝服务、CSRF 和信息泄漏：
https://www.djangoproject.com/weblog/2011/sep/10/127/

ID	Name	Product	Family	Published	Updated	Severity
74633	openSUSE Security Update : python-django (openSUSE-SU-2012:0653-1)	Nessus	SuSE Local Security Checks	6/13/2014	1/19/2021	medium
56671	Debian DSA-2332-1 : python-django - several issues	Nessus	Debian Local Security Checks	10/31/2011	1/11/2021	medium
74633	openSUSE のセキュリティ更新：python-django（openSUSE-SU-2012:0653-1）	Nessus	SuSE Local Security Checks	6/13/2014	1/19/2021	medium
56671	Debian DSA-2332-1：python-django - 多个问题	Nessus	Debian Local Security Checks	10/31/2011	1/11/2021	medium
74633	openSUSE 安全性更新：python-django (openSUSE-SU-2012:0653-1)	Nessus	SuSE Local Security Checks	6/13/2014	1/19/2021	medium
56671	Debian DSA-2332-1：python-django - いくつかの問題	Nessus	Debian Local Security Checks	10/31/2011	1/11/2021	medium
56671	Debian DSA-2332-1：python-django - 數個問題	Nessus	Debian Local Security Checks	10/31/2011	1/11/2021	medium
74633	openSUSE 安全更新：python-django (openSUSE-SU-2012:0653-1)	Nessus	SuSE Local Security Checks	6/13/2014	1/19/2021	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium

medium

medium