Django 專案報告：

Django 1.8 的 cached_db 工作階段後端中的 session.flush() 的一個變更，將工作階段金鑰錯誤設定為空白字串，而非設定為無。空字串會被視為有效的工作階段金鑰，因此會設定工作階段 Cookie。在其工作階段 Cookie 中有空字串的任何使用者都將使用相同的工作階段儲存區。django.contrib.auth.logout() 會呼叫 session.flush()，而且更嚴重的是，當使用者切換帳戶時，django.contrib.auth.login() 會呼叫 session.flush()。如果某個使用者已登入，然後又再次登入不同帳戶 (未登出)，則會排清工作階段以避免重複使用。當工作階段排清 (且其工作階段金鑰變成 '') 之後，帳戶詳細資訊會設定在工作階段上，而且會儲存該工作階段。在其工作階段 Cookie 中有空字串的任何使用者，現在都會登入該帳戶。

感謝 Sam Cooke 報告此問題。

偵測

FreeBSD：django -- 修正 cached_db 後端中的工作階段排清 (48504af7-07ad-11e5-879c-00e0814cab4e)

medium Nessus Plugin ID 83909

找不到依附元件