Django 1.8.2.dev20150513143415 documentation

首页 | 目录 | 索引 | 模块

«上一页 | 上 | 下一页»

Archive of security issues

Django的开发团队坚决致力于负责任地报告和披露与安全相关的问题，如Django’s security policies中所述。

作为该承诺的一部分，我们保留以下历史清单，列出已确定和披露的问题。对于每个问题，以下列表包括日期，简要说明，CVE标识符（如果适用），受影响版本的列表，完整披露的链接以及到相应补丁的链接。

一些重要的警告适用于此信息：

• 受影响版本的列表仅包括在公开时具有稳定，安全支持的版本的Django版本。这意味着较早版本（其安全支持已过期）和在公开时处于预发布（alpha / beta / RC）状态的版本可能已受到影响，但未列出。
• Django项目有时会发出安全建议，指出由于配置不当或Django本身以外的其他问题可能导致的潜在安全问题。其中一些顾问已经收到CVEs；当这种情况下，他们在这里列出，但是因为他们没有伴随的补丁或版本，只有描述，披露和CVE将被列出。

Issues prior to Django’s security process

在Django使用正式的安全进程之前，处理了一些安全问题。对于这些，当时可能没有发布新版本，CVE可能尚未分配。

August 16, 2006 - CVE-2007-0404

CVE-2007-0404：翻译框架中的文件名验证问题。完整说明

Versions affected

• Django 0.90 （patch）
• Django 0.91 （patch）
• Django 0.95 （patch）（2007年1月21日发布）

January 21, 2007 - CVE-2007-0405

CVE-2007-0405：已验证用户的“缓存”。完整说明

Versions affected

• Django 0.95 （patch）

Issues under Django’s security process

所有其他安全问题已在Django安全过程的版本下处理。这些列在下面。

October 26, 2007 - CVE-2007-5712

CVE-2007-5712 t>：通过任意大小的Accept-Language头拒绝服务。完整说明

Versions affected

• Django 0.91 （patch）
• Django 0.95 （patch）
• Django 0.96 （patch）

May 14, 2008 - CVE-2008-2302

CVE-2008-2302：XSS通过管理员登录重定向。完整说明

Versions affected

• Django 0.91 （patch）
• Django 0.95 （patch）
• Django 0.96 （patch）

September 2, 2008 - CVE-2008-3909

CVE-2008-3909：CSRF通过在管理员登录期间保存POST数据。完整说明

Versions affected

• Django 0.91 （patch）
• Django 0.95 （patch）
• Django 0.96 （patch）

July 28, 2009 - CVE-2009-2659

CVE-2009-2659：开发服务器媒体处理程序中的目录遍历。完整说明

Versions affected

• Django 0.96 （patch）
• Django 1.0 （patch）

October 9, 2009 - CVE-2009-3965

CVE-2009-3965：通过病理正规表达性能的拒绝服务。完整说明

Versions affected

• Django 1.0 （patch）
• Django 1.1 （patch）

September 8, 2010 - CVE-2010-3082

CVE-2010-3082：XSS通过信任不安全的Cookie值。完整说明

Versions affected

• Django 1.2 （patch）

December 22, 2010 - CVE-2010-4534

CVE-2010-4534：管理界面中的信息泄露。完整说明

Versions affected

• Django 1.1 （patch）
• Django 1.2 （patch）

December 22, 2010 - CVE-2010-4535

CVE-2010-4535：密码重置机制中的拒绝服务。完整说明

Versions affected

• Django 1.1 （patch）
• Django 1.2 （patch）

February 8, 2011 - CVE-2011-0696

CVE-2011-0696：CSRF通过伪造的HTTP标头。完整说明

Versions affected

• Django 1.1 （patch）
• Django 1.2 （patch）

February 8, 2011 - CVE-2011-0697

CVE-2011-0697：通过未上传的文件名称进行XSS。完整说明

Versions affected

• Django 1.1 （patch）
• Django 1.2 （patch）

February 8, 2011 - CVE-2011-0698

CVE-2011-0698：在Windows上通过不正确的路径分隔符处理进行目录遍历。完整说明

Versions affected

• Django 1.1 （patch）
• Django 1.2 （patch）

September 9, 2011 - CVE-2011-4136

CVE-2011-4136：使用内存高速缓存支持的会话时的会话操作。完整说明

Versions affected

• Django 1.2 （patch）
• Django 1.3 （patch）

September 9, 2011 - CVE-2011-4137

CVE-2011-4137：拒绝服务通过URLField.verify_exists。完整说明

Versions affected

• Django 1.2 （patch）
• Django 1.3 （patch）

September 9, 2011 - CVE-2011-4138

CVE-2011-4138：通过URLField.verify_exists发送信息泄漏/任意请求。完整说明

Versions affected

• Django 1.2：（patch）
• Django 1.3：（patch）

September 9, 2011 - CVE-2011-4139

CVE-2011-4139：Host标题缓存中毒。完整说明

Versions affected

• Django 1.2 （patch）
• Django 1.3 （patch）

September 9, 2011 - CVE-2011-4140

CVE-2011-4140：通过Host标头的潜在CSRF。完整说明

Versions affected

此通知只是一个建议，所以没有发布修补程序。

• Django 1.2
• Django 1.3

July 30, 2012 - CVE-2012-3442

CVE-2012-3442：XSS通过无法验证重定向方案。完整说明

Versions affected

• Django 1.3：（patch）
• Django 1.4：（patch）

July 30, 2012 - CVE-2012-3443

CVE-2012-3443：通过压缩图像文件进行拒绝服务。完整说明

Versions affected

• Django 1.3：（patch）
• Django 1.4：（patch）

July 30, 2012 - CVE-2012-3444

CVE-2012-3444：通过大型图像文件进行拒绝服务。完整说明

Versions affected

• Django 1.3 （patch）
• Django的1.4 （补丁） T0>

October 17, 2012 - CVE-2012-4520

CVE-2012-4520：Host标题中毒。完整说明

Versions affected

• Django 1.3 （patch）
• Django的1.4 （补丁） T0>

December 10, 2012 - No CVE 1

附加强化Host标头处理。完整说明

Versions affected

• Django 1.3 （patch）
• Django的1.4 （补丁） T0>

December 10, 2012 - No CVE 2

额外加强重定向验证。完整说明

Versions affected

• Django 1.3：（patch）
• Django 1.4：（patch）

February 19, 2013 - No CVE

附加强化Host标头处理。完整说明

Versions affected

• Django 1.3 （patch）
• Django的1.4 （补丁） T0>

February 19, 2013 - CVE-2013-1664/1665

CVE-2013-1664和CVE-2013-1665：基于实体的针对Python XML库的攻击。完整说明

Versions affected

• Django 1.3 （patch）
• Django的1.4 （补丁） T0>

February 19, 2013 - CVE-2013-0305

CVE-2013-0305：通过管理历史记录泄漏信息。完整说明

Versions affected

• Django 1.3 （patch）
• Django的1.4 （补丁） T0>

February 19, 2013 - CVE-2013-0306

CVE-2013-0306：通过表单集拒绝服务max_num绕过。完整说明

Versions affected

• Django 1.3 （patch）
• Django的1.4 （补丁） T0>

August 13, 2013 - Awaiting CVE 1

（CVE尚未发布）：XSS通过管理员信任URLField值。完整说明

Versions affected

• Django 1.5 （patch）

August 13, 2013 - Awaiting CVE 2

（CVE尚未发布）：可能的XSS通过未经验证的URL重定向方案。完整说明

Versions affected

• Django 1.4 （patch）
• Django 1.5 （patch）

September 10, 2013 - CVE-2013-4315

CVE-2013-4315目录遍历通过ssi模板标记。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.5 （patch）

September 14, 2013 - CVE-2013-1443

CVE-2013-1443：通过大密码拒绝服务。完整说明

Versions affected

• Django 1.4 （补丁和Python兼容性修补程序）
• Django 1.5 （patch）

April 21, 2014 - CVE-2014-0472

CVE-2014-0472：使用reverse()意外执行代码。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.5 （patch）
• Django 1.6 （patch）
• Django 1.7 （patch）

April 21, 2014 - CVE-2014-0473

CVE-2014-0473：缓存匿名页面可能会显示CSRF令牌。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.5 （patch）
• Django 1.6 （patch）
• Django 1.7 （patch）

April 21, 2014 - CVE-2014-0474

CVE-2014-0474：MySQL类型转换会导致意外的查询结果。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.5 （patch）
• Django 1.6 （patch）
• Django 1.7 （patch）

May 18, 2014 - CVE-2014-1418

CVE-2014-1418：可以允许高速缓存存储和提供私有数据。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.5 （patch）
• Django 1.6 （patch）
• Django 1.7 （patch）

May 18, 2014 - CVE-2014-3730

CVE-2014-3730：用户输入的格式错误的网址验证不正确。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.5 （patch）
• Django 1.6 （patch）
• Django 1.7 （patch）

August 20, 2014 - CVE-2014-0480

CVE-2014-0480：reverse()可以生成指向其他主机的URL。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.5 （patch）
• Django 1.6 （patch）
• Django 1.7 （patch）

August 20, 2014 - CVE-2014-0481

CVE-2014-0481：文件上传拒绝服务。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.5 （patch）
• Django 1.6 （patch）
• Django 1.7 （patch）

August 20, 2014 - CVE-2014-0482

CVE-2014-0482：RemoteUserMiddleware会话劫持。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.5 （patch）
• Django 1.6 （patch）
• Django 1.7 （patch）

August 20, 2014 - CVE-2014-0483

CVE-2014-0483：在admin中通过querystring操作泄漏数据。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.5 （patch）
• Django 1.6 （patch）
• Django 1.7 （patch）

January 13, 2015 - CVE-2015-0219

CVE-2015-0219：通过下划线/破折号混淆的WSGI标题欺骗。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.6 （patch）
• Django 1.7 （patch）

January 13, 2015 - CVE-2015-0220

CVE-2015-0220：通过用户提供的重定向网址缓解可能的XSS攻击。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.6 （patch）
• Django 1.7 （patch）

January 13, 2015 - CVE-2015-0221

CVE-2015-0221：针对django.views.static.serve()的拒绝服务攻击。完整说明

Versions affected

• Django的1.4 （补丁） T0>
• Django 1.6 （patch）
• Django 1.7 （patch）

January 13, 2015 - CVE-2015-0222

CVE-2015-0222：使用ModelMultipleChoiceField的数据库拒绝服务。完整说明

Versions affected

• Django 1.6 （patch）
• Django 1.7 （patch）

最后更新：

2015年5月13日

«上一页 | 上 | 下一页»