在 python-django 中發現一個弱點並已更正：

Rainer Koirikivi 發現 python-django (高階 Python Web 開發架構) 中的 'ssi' 範本標籤有一個目錄遊走弱點。據發現，處理 'ALLOWED_INCLUDE_ROOTS' 設定 (用於呈現允許的 {% ssi %} 範本標籤前置詞) 的過程中容易遭受目錄遊走攻擊，方法為指定以 'ALLOWED_INCLUDE_ROOTS' 中目錄的絕對路徑為開頭的檔案路徑，然後使用相對路徑來破解限制。若要惡意利用此弱點，攻擊者必須能更改網站上的範本，或是攻擊對象的網站必須有一或多個範本使用 'ssi' 標籤，而且必須允許使用某些類型的未清理使用者輸入作為 'ssi' 標籤的引數 (CVE-2013-4315)。

已修補更新版套件，以更正此問題。

偵測

Mandriva Linux 安全性公告：python-django (MDVSA-2013:234)

medium Nessus Plugin ID 69892

找不到變更記錄