Nick Brunn 報告 python-django (一種高階 Python Web 開發架構) 中可能存在一個跨網站指令碼弱點。

用來驗證目前主機上使用的 URL 以避免可能從惡意建構的查詢字串發生危險重新導向的 is_safe_url 公用程式函式，可針對 HTTP 和 HTTPS URL 正常運作，但會允許重新導向至其他配置，如 javascript。

is_safe_url 函式已經過修改，現可正確識別並拒絕不是指定 HTTP 或 HTTPS 配置的 URL，避免透過重新導向至其他配置來發動跨網站指令碼攻擊。

偵測

Debian DSA-2740-2：python-django - XSS 弱點

medium Nessus Plugin ID 69459

找不到變更記錄