See http://www.djangoproject.com/weblog/2010/sep/08/security-release/

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

次を参照してください。http://www.djangoproject.com/weblog/2010/sep/08/security-release/

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Django project reports :

The provided template tag for inserting the CSRF token into forms -- {% csrf_token %} -- explicitly trusts the cookie value, and displays it as-is. Thus, an attacker who is able to tamper with the value of the CSRF cookie can cause arbitrary content to be inserted, unescaped, into the outgoing HTML of the form, enabling cross-site scripting (XSS) attacks.

It was discovered that Django did not properly sanitize the cookie value when applying CSRF protections resulting in a cross-site scripting (XSS) vulnerability. With cross-site scripting vulnerabilities, if a user were tricked into viewing server output during a crafted server request, a remote attacker could exploit this to modify the contents, or steal confidential data, within the same domain.

Note that Tenable Network Security has extracted the preceding description block directly from the Ubuntu security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

' Today the Django team has released Django 1.2.3, which remedies several issues with the recent 1.2.2 package.

This package corrects the following problems :

  - The patch applied for the security issue covered in     Django 1.2.2 caused issues with non-ASCII responses     using CSRF tokens. This has been remedied.

    - The patch also caused issues with some forms, most       notably the user-editing forms in the Django       administrative interface. This has been remedied.

    - The packaging manifest did not contain the full list       of required files. This has been remedied. '

See: http://www.djangoproject.com/weblog/2010/sep/10/123/ See http://www.djangoproject.com/weblog/2010/sep/08/security-release/

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Django プロジェクトによる報告：

CSRF トークンをフォームに挿入するための提供されたテンプレートタグ -- {% csrf_token %} -- は、クッキー値を明示的に信頼し、これをそのまま表示します。このため、CSRF クッキーの値を改ざんできる攻撃者が、任意のコンテンツをフォームの発信 HTML に挿入、エスケープ解除し、クロスサイトスクリプティング（XSS）攻撃を引き起こす可能性があります。

本日 Django チームは Django 1.2.3 をリリースしました。これは最近の 1.2.2 パッケージにおけるいくつかの問題を修正します。

このパッケージは以下の問題を修正します：

- Django 1.2.2 にあるセキュリティ問題に適用されたパッチにより、CSRF トークンを使用する非 ASCII 応答に問題が生じました。これは修正されました。

- このパッチは、Django 管理インターフェイスのユーザー編集フォームを始めとする、いくつかのフォームに問題をもたらしています。これは修正されました。

- パッケージマニフェストには、必須ファイルの完全なリストが含まれていませんでした。これは修正されました。'

次を参照してください：http://www.djangoproject.com/weblog/2010/sep/10/123/ 次を参照してください：http://www.djangoproject.com/weblog/2010/sep/08/security-release/

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Django が CSRF 保護の適用時に、クッキー値を適切にサニタイズしないため、クロスサイトスクリプティング（XSS）の脆弱性が発生することが判明しました。クロスサイトスクリプティングの脆弱性により、細工されたサーバーリクエストが行われる際に、ユーザーが騙されてサーバー出力を表示すると、リモートの攻撃者がこれを悪用して同じドメインでコンテンツを変更したり、機密データを盗むことができます。

ID	名稱	產品	系列	已發布	已更新	嚴重性
49198	Fedora 13 : Django-1.2.2-1.fc13 (2010-14398)	Nessus	Fedora Local Security Checks	2010/9/12	2021/1/11	medium
49198	Fedora 13：Django-1.2.2-1.fc13（2010-14398）	Nessus	Fedora Local Security Checks	2010/9/12	2021/1/11	medium
49199	Fedora 12 : Django-1.2.2-1.fc12 (2010-14430)	Nessus	Fedora Local Security Checks	2010/9/12	2021/1/11	medium
49273	FreeBSD : django -- XSS vulnerability (3ff95dd3-c291-11df-b0dc-00215c6a37bb)	Nessus	FreeBSD Local Security Checks	2010/9/17	2021/1/6	medium
49995	Ubuntu 10.10 : python-django vulnerability (USN-1004-1)	Nessus	Ubuntu Local Security Checks	2010/10/15	2019/9/19	medium
49663	Fedora 14 : Django-1.2.3-1.fc14 (2010-14745)	Nessus	Fedora Local Security Checks	2010/9/24	2021/1/11	medium
49199	Fedora 12：Django-1.2.2-1.fc12（2010-14430）	Nessus	Fedora Local Security Checks	2010/9/12	2021/1/11	medium
49273	FreeBSD：django -- XSS の脆弱性（3ff95dd3-c291-11df-b0dc-00215c6a37bb）	Nessus	FreeBSD Local Security Checks	2010/9/17	2021/1/6	medium
49663	Fedora 14：Django-1.2.3-1.fc14（2010-14745）	Nessus	Fedora Local Security Checks	2010/9/24	2021/1/11	medium
49995	Ubuntu 10.10：python-django の脆弱性（USN-1004-1）	Nessus	Ubuntu Local Security Checks	2010/10/15	2019/9/19	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium