Django security release reports :

CVE-2020-13254: Potential data leakage via malformed memcached keys

In cases where a memcached backend does not perform key validation, passing malformed cache keys could result in a key collision, and potential data leakage. In order to avoid this vulnerability, key validation is added to the memcached cache backends.

CVE-2020-13596: Possible XSS via admin ForeignKeyRawIdWidget

Query parameters for the admin ForeignKeyRawIdWidget were not properly URL encoded, posing an XSS attack vector. ForeignKeyRawIdWidget now ensures query parameters are correctly URL encoded.

Djangoセキュリティリリースによる報告: 

CVE-2020-13254:  無効な形式のmemcachedキーによる潜在的なデータ漏洩

memcachedバックエンドがキーの検証を実行しない場合、無効な形式のキャッシュキーを渡すことで、キーの衝突やデータ漏洩が発生する可能性があります。この脆弱性を回避するために、主要な検証がmemcachedキャッシュバックエンドに追加されています。

CVE-2020-13596:  管理者のForeignKeyRawIdWidgetによるXSSの可能性

管理者のForeignKeyRawIdWidgetのクエリパラメーターが適切にURLエンコードされておらず、XSS攻撃ベクトルを引き起こしました。ForeignKeyRawIdWidgetにより、クエリパラメーターが確実にURLエンコードされるようになりました。

发现高级 Python Web 开发框架 Django 未正确审查输入。这将允许远程攻击者执行 SQL 注入攻击、跨站脚本 (XSS) 攻击或泄漏敏感信息。

據發現，高階 Python Web 開發架構 Django 未正確清理輸入。遠端攻擊者可藉此執行 SQL 插入攻擊、跨網站指令碼 (XSS) 攻擊或洩漏敏感資訊。

Dan Palmer 發現 Django 未正確驗證 memcached 快取金鑰。遠端攻擊者可能會利用此問題引發拒絕服務或取得敏感資訊。(CVE-2020-13254)

Jon Dufresne 發現 Django 未正確編碼 admin ForeignKeyRawIdWidget 的查詢參數。遠端攻擊者可能利用此問題發動 XSS 攻擊。(CVE-2020-13596)

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Dan Palmer discovered that Django incorrectly validated memcached cache keys. A remote attacker could possibly use this issue to cause a denial of service and obtain sensitive information. (CVE-2020-13254)

Jon Dufresne discovered that Django incorrectly encoded query parameters for the admin ForeignKeyRawIdWidget. A remote attacker could possibly use this issue to perform XSS attacks. (CVE-2020-13596).

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

- Security fix for CVE-2020-7471.

  - Security fix for CVE-2020-9402.

  - Security fix for CVE-2020-13254.

  - Security fix for CVE-2020-13596.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Dan Palmer 发现 Django 未能正确验证 memcached 缓存密钥。远程攻击者可利用此问题造成拒绝服务和获取敏感信息。(CVE-2020-13254)

Jon Dufresne 发现 Django 未能正确编码 admin ForeignKeyRawIdWidget 的查询参数。远程攻击者可能利用此问题发动 XSS 攻击。(CVE-2020-13596)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

It was discovered that Django, a high-level Python web development framework, did not properly sanitize input. This would allow a remote attacker to perform SQL injection attacks, Cross-Site Scripting (XSS) attacks, or leak sensitive information.

- CVE-2020-7471のセキュリティ修正。

  - CVE-2020-9402のセキュリティ修正。

  - CVE-2020-13254のセキュリティ修正。

  - CVE-2020-13596のセキュリティ修正。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Dan Palmer氏は、Djangoがmemcachedキャッシュキーを不適切に検証していることを発見しました。リモート攻撃者がこの問題を悪用して、サービス拒否を引き起こし、秘密情報を取得する可能性があります。(CVE-2020-13254)

Jon Dufresne氏は、Djangoがadmin ForeignKeyRawIdWidgetのクエリパラメーターを不適切にエンコードしていることを発見しました。リモート攻撃者が、この問題を利用して、XSS 攻撃を仕掛ける可能性があります。(CVE-2020-13596)

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

高レベルのPython Web開発フレームワークDjangoにおいて、入力が適切にサニタイズされていないことが検出されました。これにより、リモートの攻撃者がSQLインジェクション攻撃やクロスサイトスクリプティング（XSS）攻撃を実行したり、機密情報を漏洩したりする可能性があります。

ID	名稱	產品	系列	已發布	已更新	嚴重性
137166	FreeBSD : Django -- multiple vulnerabilities (597d02ce-a66c-11ea-af32-080027846a02)	Nessus	FreeBSD Local Security Checks	2020/6/5	2020/9/28	medium
137166	FreeBSD：Django -- 複数の脆弱性（597d02ce-a66c-11ea-af32-080027846a02）	Nessus	FreeBSD Local Security Checks	2020/6/5	2020/9/28	medium
137673	Debian DSA-4705-1：python-django - 安全更新	Nessus	Debian Local Security Checks	2020/6/22	2020/9/25	high
137673	Debian DSA-4705-1：python-django - 安全性更新	Nessus	Debian Local Security Checks	2020/6/22	2020/9/25	high
137133	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：Django 弱點 (USN-4381-1)	Nessus	Ubuntu Local Security Checks	2020/6/4	2023/10/20	medium
137133	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : Django vulnerabilities (USN-4381-1)	Nessus	Ubuntu Local Security Checks	2020/6/4	2023/10/20	medium
137686	Fedora 32 : python-django (2020-c2639662af)	Nessus	Fedora Local Security Checks	2020/6/22	2024/3/6	critical
137133	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS：Django 漏洞 (USN-4381-1)	Nessus	Ubuntu Local Security Checks	2020/6/4	2023/10/20	medium
137673	Debian DSA-4705-1 : python-django - security update	Nessus	Debian Local Security Checks	2020/6/22	2020/9/25	high
137680	Fedora 31 : python-django (2020-2e7d30f7aa)	Nessus	Fedora Local Security Checks	2020/6/22	2024/3/6	critical
137686	Fedora 32：python-django（2020-c2639662af）	Nessus	Fedora Local Security Checks	2020/6/22	2024/3/6	critical
137133	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS : Django の脆弱性 (USN-4381-1)	Nessus	Ubuntu Local Security Checks	2020/6/4	2023/10/20	medium
137673	Debian DSA-4705-1: python-django - セキュリティ更新	Nessus	Debian Local Security Checks	2020/6/22	2020/9/25	high
137680	Fedora 31：python-django（2020-2e7d30f7aa）	Nessus	Fedora Local Security Checks	2020/6/22	2024/3/6	critical

偵測

搜尋 Plugin

medium

medium

high

high

medium

medium

critical

medium

high

critical

critical

medium

high

critical