There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Directory traversal vulnerability in Django 1.1.x before 1.1.4 and 1.2.x before 1.2.5 on Windows might
    allow remote attackers to read or execute files via a / (slash) character in a key in a session cookie,
    related to session replays. (CVE-2011-0698)

已在 python-django 中发现并修正了多种漏洞：

低于 1.1.4 的 Django 1.1.x 及低于 1.2.5 的 Django 1.2.x 无法正确验证包含 X-Requested-With 标头的 HTTP 请求，这会让远程攻击者更容易通过伪造的 AJAX 请求发动跨站请求伪造 (CSRF) 攻击，该请求会利用浏览器插件与重定向的组合，此问题与 CVE-2011-0447 有关 (CVE-2011-0696)。

在低于 1.1.4 的 Django 1.1.x 及低于 1.2.5 的 Django 1.2.x 中，跨站脚本 (XSS) 漏洞可允许远程攻击者通过与文件上传相关的文件名，注入任意 Web 脚本或 HTML (CVE-2011-0697)。

在 Windows 上，低于 1.1.4 的 Django 1.1.x 及低于 1.2.5 的 Django 1.2.x 中存在目录遍历漏洞，可允许远程攻击者通过会话 Cookie 密钥中的 / (斜线) 字符读取或执行文件，此问题与会话重放有关 (CVE-2011-0698)。

已将更新后的程序包已升级到 1.1.4 版本，因此不易受到这些问题的影响。

在 python-django 中發現多個弱點並已更正：

1.1.4 之前的 Django 1.1.x 版及 1.2.5 之前的 1.2.x 版無法正確驗證包含 X-Requested-With 標頭的 HTTP 要求，這會讓遠端攻擊者更容易透過偽造的 AJAX 要求發動跨網站要求偽造 (CSRF) 攻擊，該要求會利用瀏覽器外掛程式與重新導向的組合，該問題與 CVE-2011-0447 相關 (CVE-2011-0696)。

在 Django 1.1.4 版之前的 1.1.x 及 1.2.5 版之前的 1.2.x 版中，跨網站指令碼 (XSS) 弱點可允許遠端攻擊者得以透過與檔案上傳相關聯的檔案名稱，插入任意網站指令碼或 HTML (CVE-2011-0697)。

在 Windows 上，Django 1.1.4 版之前的 1.1.x 與 1.2.5 版之前的 1.2.x 中的目錄遊走弱點允許遠端攻擊者透過工作階段 Cookie 的金鑰中與工作階段重播相關的 / (斜線) 字元讀取或執行檔案 (CVE-2011-0698)。

更新版套件已升級至 1.1.4 版，該版本不會受到這些問題的影響。

python-django に複数の脆弱性が見つかり、修正されました：

Django 1.1.4 より前の 1.1.x および 1.2.5 より前の 1.2.x は、X-Requested-With ヘッダーを含む HTTP リクエストを適切に検証しないため、リモートの攻撃者は、ブラウザプラグインとリダイレクトの組み合わせを利用する偽造された AJAX リクエストを介してクロスサイトリクエスト偽造（CSRF）攻撃を容易に行うことができます。この問題は CVE-2011-0447 に関連します（CVE-2011-0696）。

Django 1.1.4 より前の 1.1.x および 1.2.5 より前の 1.2.x におけるクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、ファイルアップロードに関連したファイル名を介して任意の Web スクリプトまたは HTML を注入する可能性があります（CVE-2011-0697）。

Windows 版 Django 1.1.4 より前の 1.1.x および 1.2.5 より前の 1.2.x におけるディレクトリトラバーサルの脆弱性により、リモートの攻撃者はセッションリプレーに関連するセッションクッキー鍵の / （スラッシュ）文字を介してファイルを読み取る、あるいは実行する可能性があります（CVE-2011-0698）。

更新済みパッケージが、これらの問題に対して脆弱でない 1.1.4 バージョンにアップグレードされています。

Multiple vulnerabilities has been found and corrected in python-django :

Django 1.1.x before 1.1.4 and 1.2.x before 1.2.5 does not properly validate HTTP requests that contain an X-Requested-With header, which makes it easier for remote attackers to conduct cross-site request forgery (CSRF) attacks via forged AJAX requests that leverage a combination of browser plugins and redirects, a related issue to CVE-2011-0447 (CVE-2011-0696).

Cross-site scripting (XSS) vulnerability in Django 1.1.x before 1.1.4 and 1.2.x before 1.2.5 might allow remote attackers to inject arbitrary web script or HTML via a filename associated with a file upload (CVE-2011-0697).

Directory traversal vulnerability in Django 1.1.x before 1.1.4 and 1.2.x before 1.2.5 on Windows might allow remote attackers to read or execute files via a / (slash) character in a key in a session cookie, related to session replays (CVE-2011-0698).

The updated packages have been upgraded to the 1.1.4 version which is not vulnerable to these issues.

ID	名稱	產品	系列	已發布	已更新	嚴重性
423276	SCA: security update for Django (GHSA-7g9h-c88w-r7h2)	Tenable Cloud Security	SCA Checks	2025/3/29	2026/7/2	critical
423276	SCA: security update for Django (GHSA-7g9h-c88w-r7h2)	Tenable Self-Hosted Container Security	SCA Checks	2025/3/29	2026/7/2	critical
52036	Mandriva Linux 安全公告：python-django (MDVSA-2011:031)	Nessus	Mandriva Local Security Checks	2011/2/20	2021/1/6	high
52036	Mandriva Linux 安全性公告：python-django (MDVSA-2011:031)	Nessus	Mandriva Local Security Checks	2011/2/20	2021/1/6	high
52036	Mandriva Linux セキュリティアドバイザリ：python-django（MDVSA-2011: 031）	Nessus	Mandriva Local Security Checks	2011/2/20	2021/1/6	high
52036	Mandriva Linux Security Advisory : python-django (MDVSA-2011:031)	Nessus	Mandriva Local Security Checks	2011/2/20	2021/1/6	high

偵測

搜尋 Plugin

critical

critical

high

high

high

high