James Kettle 发现 Django 在处理某些请求时未正确过滤 Host HTTP 标头。攻击者可利用此漏洞生成任意 URL 并显示给用户。尽管此问题之前已在 USN-1632-1 中得到解决，但此更新还是向 host 标头验证添加更多增强措施。此更新还添加一个新的 ALLOWED_HOSTS 设置，可对可接受的标头值列表进行设置。(CVE-2012-4520)

Orange Tsai 发现 Django 在管理界面中显示历史记录视图时错误地执行权限检查。无论预期权限如何，管理员都可使用此缺陷来查看任何对象的历史记录。(CVE-2013-0305)

发现 Django 在生成 formset 时未正确处理大量表单。攻击者可利用此缺陷使 Django 消耗内存，从而导致拒绝服务。
(CVE-2013-0306)

发现 Django 错误地反序列化 XML。攻击者可使用此缺陷来执行实体扩展和外部实体/DTD 攻击。此更新修改了 Django 行为，以便不再允许 DTD、执行实体扩展和获取外部实体/DTD。（CVE-2013-1664、CVE-2013-1665）。

检测

Ubuntu 10.04 LTS / 11.10 / 12.04 LTS / 12.10：python-django 漏洞 (USN-1757-1)

medium Nessus 插件 ID 65096

未找到依赖项