Django 專案報告：

這些安全性版本可修正四個問題：一個潛在的網路釣魚向量、一個拒絕服務向量、一個資訊洩漏問題和一個 XML 範圍弱點。

- 主機標頭破壞

攻擊者可造成 Django 產生和顯示可連結至任意網域的 URL。這可遭利用而成為網路釣魚攻擊的一部分。
這些版本可藉由引入新設定 ALLOWED_HOSTS 來修正此問題，該設定會指定已知您的網站會加以回應的網域白清單。

重要：依預設，Django 1.3.6 和 1.4.4 將 ALLOWED_HOSTS 設定為允許所有主機。這表示若要確實修正該安全性弱點，您必須在升級後立即自行定義此設定。

- 表單集拒絕服務

攻擊者可濫用 Django 追蹤表單集內表單數量的功能來造成拒絕服務攻擊。已藉由新增預設表單數量上限 1,000 來修正此問題。如有需要，您仍可手動指定更大的 max_num，但是 1,000 應足夠供所有使用者使用。

- XML 攻擊

Django 的序列化架構容易透過 XML 實體擴充和外部參照遭受攻擊；此問題現已修正。然而，若您在應用程式的其他部分剖析任意 XML，建議您研究 defusedxml Python 套件，無論您在何處剖析 XML，其都可解決此問題，不只是透過 Django 的序列化架構。

- 透過系統管理員歷程記錄發生資料洩漏

Django 的系統管理員介面可透過其歷程記錄洩漏本應隱藏的資訊。這個問題已修正。

偵測

FreeBSD：django -- 多個弱點 (21c59f5e-7cc5-11e2-9c11-080027a5ec9a)

medium Nessus Plugin ID 64873

找不到變更記錄