在 python-django 中發現多個弱點並已更正：

1.3.2 版之前和 1.4.1 之前的 1.4.x 版 Django 中的 (1) django.http.HttpResponseRedirect 和 (2) django.http.HttpResponsePermanentRedirect 類別未驗證重新導向目標的配置，其可允許遠端攻擊者透過 data: URL 發動跨網站指令碼 (XSS) 攻擊 (CVE-2012-3442)。

在 1.3.2 版之前和 1.4.1 之前的 1.4.x 版 Django 中，表單系統的 django.forms.ImageField 類別在影像驗證期間將影像資料完全解壓縮，其允許遠端攻擊者透過上傳影像檔案，造成拒絕服務 (記憶體消耗) (CVE-2012-3443)。

在 1.3.2 版之前和 1.4.1 之前的 1.4.x 版 Django 中，影像處理功能中的 get_image_dimensions 函式在判斷尺寸的所有嘗試中使用了常數區塊大小，其允許遠端攻擊者透過大型 TIFF 影像，造成拒絕服務 (處理程序或執行緒消耗) (CVE-2012-3444)。

更新版套件已升級至 1.3.3 版，該版本不會受到這些問題的影響。

偵測

Mandriva Linux 安全性公告：python-django (MDVSA-2012:143)

medium Nessus Plugin ID 61988

找不到變更記錄