Django密码沉置处的账户劫持缝隙风险公告

颁布功夫 2019-12-19

缝隙编号和级别


CVE编号：CVE-2019-19844，危险级别：高危，CVSS分值：官方未评定


影响版本


Django < 1.11.27

Django 2.x < 2.2.9

Django 3.x < 3.0.1


缝隙概述


Django是Django基金会的一套基于Python说话的开源Web利用框架。该框架蕴含面向对象的映射器、视图系统、模板系统等。


Django 在2019年12月18日进行了安全补丁更新, 建复了一个密码沉置处的账户劫持缝隙。该缝隙由于Django的密码沉置职能不分辨大幼写的来对数据库进行邮箱地址查问，在处置Unicode的大幼写转换时存在解析问题，可能会导致账户劫持问题。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布升级补丁，请更新Django版本到3.0.1、2.2.9、1.11.27：https://www.djangoproject.com/weblog/2019/dec/18/security-releases/。


参考链接


https://www.djangoproject.com/weblog/2019/dec/18/security-releases/