更新 python Django 以修复在验证视图模块中发生远程拒绝服务（资源耗尽）的可能性。（bsc#941587，CVE-2015-5963）

is_safe_url() 也被设为拒绝以控制字符开头的 URL，以减小通过用户提供的重定向 URL 执行 XSS 攻击的可能性（bnc#923176、CVE-2015-2317）

- 方法 check_for_test_cookie 已被弃用，bnc#914706

- 更新到版本 1.5.12，包含多个安全补丁：

+ 通过 admin 字段中动态生成的内联和允许的字段引用修复了回归

+ 允许在 admin 字段中引用相关的多对多字段

+ 允许对 admin 字段进行内联和隐藏引用

更新到 1.8 最终版以实现 python3 的现代化规范

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Andrey Babak 发现 Django 未正确处理 strip_tags。远程攻击者可能利用此问题导致 Django 进入无限循环，从而导致拒绝服务。此问题仅影响 Ubuntu 14.04 LTS 和 Ubuntu 14.10。(CVE-2015-2316)

Daniel Chatfield 发现 Django 未正确处理用户提供的重定向 URL。远程攻击者可能利用此问题执行跨站脚本攻击。(CVE-2015-2317)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

python-django 已更新到 1.6.11，修复了若干安全问题和非安全缺陷。

修复了以下漏洞：

- 使 is_safe_url() 拒绝以控制字符开头的 URL，从而缓解可能通过用户提供的重定向 URL 进行的 XSS 攻击（bnc#923176，CVE-2015-2317）

- 修复了 strip_tags() 中的无限循环可能性（bnc#923172，CVE-2015-2316）

- 通过下划线/破折号合并进行的 WSGI 标头欺骗（bnc#913053，CVE-2015-0219）

- 缓解了可能通过用户提供的重定向 URL 进行的 XSS 攻击

- 针对“django.views.static.serve”的拒绝服务攻击（bnc#913056，CVE-2015-0221）

- 由“ModelMultipleChoiceField”造成的数据库拒绝服务（bnc#913055，CVE-2015-0222）

该更新还包含针对非安全缺陷以及功能和稳定性问题的补丁。

在 Django 中发现多个漏洞，一个高级 Python Web 开发框架：

CVE-2015-2317

Daniel Chatfield 发现 python-django（高级 Python Web 开发框架）未正确处理用户提供的重定向 URL。远程攻击者可利用此缺陷执行跨站脚本攻击。

CVE-2015-5143

Eric Peterson 和 Lin Hua Cheng 发现，在每次访问会话时在会话存储中创建了一条新的空记录，并且在请求 cookie 中提供了一个未知的会话密钥。远程攻击者因此可导致会话存储饱和或造成其他用户会话记录被逐出。

CVE-2015-5144

Sjoerd Job Postmus 发现一些内置验证器未正确拒绝输入值中的换行。远程攻击者因此可在电子邮件和 HTTP 响应中注入标头。

对于旧稳定发行版本 (squeeze)，已在版本 1.2.3-3+squeeze13 中修复这些问题。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Daniel Chatfield 发现 python-django（高级 Python Web 开发框架）未正确处理用户提供的重定向 URL。远程攻击者可利用此缺陷执行跨站脚本攻击。

已在 python-django 中发现并修正了一个漏洞：

低于 1.4.20 的 Django、Django 1.5.x、低于 1.6.11 的 Django 1.6.x、低于 1.7.7 的 Django 1.7.x 以及低于 1.8c1 的 Django 1.8.x 中的 utils.http.is_safe_url 函数未正确验证 URL，这允许远程攻击者通过 URL 中的控制字符执行跨站脚本 (XSS) 攻击，这一点已由 \x08javascript: URL 证实 (CVE-2015-2317)。

更新后的程序包提供针对此安全问题的解决方案。

Django 项目报告：

根据我们的安全发行策略，Django 团队将发布多种版本 -- Django 1.4.20、1.6.11、1.7.7 和 1.8c1。
可访问 PyPI 和我们的下载页面立即下载这些版本。这些版本解决了若干安全问题，其详细描述如下。我们鼓励所有 Django 用户尽快升级。Django 主机分支已更新。

更新后的 python-django 程序包修复了安全漏洞：

Jedediah Smith 发现 Django 未正确处理 WSGI 标头中的下划线。远程攻击者可能利用此问题在特定环境中欺骗标头 (CVE-2015-0219)。

Mikko Ohtamaa 发现 Django 未正确处理用户提供的重定向 URL。远程攻击者可能利用此问题执行跨站脚本攻击 (CVE-2015-0220)。

Alex Gaynor 发现 Django 未正确处理 django.views.static.serve() 中的文件读取。远程攻击者可能利用此问题导致 Django 消耗资源，从而导致拒绝服务 (CVE-2015-0221)。

Keryn Knight 发现 Django 没有正确处理 ModelMultipleChoiceField 的表单。远程攻击者可能利用此问题生成大量 SQL 查询，从而导致数据库拒绝服务。请注意，此问题只影响 python-django (CVE-2015-0222)。

在低于 1.7.6 的 Django 和低于 1.8b2 的 Django 1.8 中 admin/helpers.py 内 contents 函数的跨站脚本 (XSS) 漏洞允许远程攻击者通过 ModelAdmin.readonly_fields 的 model 属性注入任意 Web 脚本或 HTML，这一点已经由 \@property 证实 (CVE-2015-2241)。

在低于 1.6.11 的 Django 1.6.x、低于 1.7.7 的 Django 1.7.x 和低于 1.8c1 的 Django 1.8.x 中的 utils.html.strip_tags 函数中使用某些版本的 Python 时，允许远程攻击者通过增加输入字符串的长度造成拒绝服务（无限循环）(CVE-2015-2316)。

低于 1.4.20 的 Django、Django 1.5.x、低于 1.6.11 的 Django 1.6.x、低于 1.7.7 的 Django 1.7.x 以及低于 1.8c1 的 Django 1.8.x 中的 utils.http.is_safe_url 函数未正确验证 URL，这允许远程攻击者通过 URL 中的控制字符执行跨站脚本 (XSS) 攻击，这一点已由 \x08javascript: URL 证实 (CVE-2015-2317)。

更新到 1.4.20

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
86091	openSUSE 安全更新：python-django (openSUSE-2015-598)	Nessus	SuSE Local Security Checks	2015/9/23	2021/1/19	medium
82967	Fedora 22：python-django-1.8-1.fc22 (2015-5766)	Nessus	Fedora Local Security Checks	2015/4/22	2021/1/11	medium
82023	Ubuntu 14.04 LTS：Django 漏洞 (USN-2539-1)	Nessus	Ubuntu Local Security Checks	2015/3/24	2023/10/20	medium
82515	openSUSE 安全更新：python-Django (openSUSE-2015-281)	Nessus	SuSE Local Security Checks	2015/4/2	2021/1/19	medium
84812	Debian DLA-272-1：python-django 安全更新	Nessus	Debian Local Security Checks	2015/7/17	2021/1/11	high
82048	Debian DSA-3204-1：python-django - 安全更新	Nessus	Debian Local Security Checks	2015/3/25	2021/1/11	medium
82618	Mandriva Linux 安全公告：python-django (MDVSA-2015:195)	Nessus	Mandriva Local Security Checks	2015/4/7	2021/1/14	medium
82286	FreeBSD：django -- 多种漏洞 (62287f51-d43d-11e4-879c-00e0814cab4e)	Nessus	FreeBSD Local Security Checks	2015/3/27	2021/1/6	medium
82362	Mandriva Linux 安全公告：python-django (MDVSA-2015:109)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium
84278	Fedora 20：python-django14-1.4.20-1.fc20 (2015-9604)	Nessus	Fedora Local Security Checks	2015/6/19	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

high

medium

medium

medium

medium

medium