Debian DLA-885-1：python-django 安全更新

medium Nessus 插件 ID 99202

语言：

简介

远程 Debian 主机缺少安全更新。

描述

已发现高级 Python web 开发框架 python-django 中存在两个漏洞。CVE-2017-7233 (#859515)：通过用户提供的数字重定向 URL 进行公开重定向和可能的 XSS 攻击。Django 在某些情况下依赖用户输入（例如 django.contrib.auth.views.login() 和 i18n）以将用户重定向到“on success”URL。这些重定向（即 is_safe_url()）的安全检查将某些不应视为“安全”的数字网址（例如 http:999999999）视为“安全”。此外，如果开发人员依赖 is_safe_url() 提供安全重定向目标并将此类 URL 放入链接，它们可能遭受 XSS 攻击。CVE-2017-7234 (#895516)：django.views.static.serve 中的公开重定向漏洞；指向使用 serve() 视图的 Django 站点的特制 URL 可重定向到其他任何域。该视图不再提供任何已知的有用功能，因此不再进行任何重定向。对于 Debian 7“Wheezy”，此问题已在 python-django 版本 1.4.22-1+deb7u3 中修复。我们建议您升级 python-django 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。