Выпущены обновления безопасности Django: версии 5.0.7 и 4.2.14

Опубликовано 9 июля 2024 г. 19:30 by Xadmin просмотров: 153

Согласно нашей политике выпуска обновлений безопасности, команда Django выпустила обновления для Django 5.0.7 и Django 4.2.14. Эти обновления решают проблемы безопасности, описанные ниже. Мы настоятельно рекомендуем всем пользователям Django обновиться как можно скорее.

CVE-2024-38875: Потенциальная уязвимость типа “отказ в обслуживании” в django.utils.html.urlize()

Функции urlize() и urlizetrunc() могли подвергаться атакам типа “отказ в обслуживании” при определённых входных данных с большим количеством скобок.

Благодарим Элиаса Мюллимаки за сообщение об уязвимости.

Степень серьёзности этой проблемы оценивается как “умеренная” согласно политике безопасности Django.

CVE-2024-39329: Перечисление имен пользователей через различия во времени выполнения для пользователей с недействительными паролями

Метод django.contrib.auth.backends.ModelBackend.authenticate() позволял удалённым атакующим перечислять пользователей через атаку на основе времени, используя запросы на вход в систему для пользователей с недействительными паролями.

Степень серьёзности этой проблемы оценивается как “низкая” согласно политике безопасности Django.

CVE-2024-39330: Потенциальная уязвимость типа “переход по каталогам” в django.core.files.storage.Storage.save()

Производные классы базового класса django.core.files.storage.Storage, которые переопределяют generate_filename() без повторения валидаций пути файла, существующих в родительском классе, допускали потенциальные атаки с переходом по каталогам при вызове save().

Встроенные подклассы Storage не были затронуты этой уязвимостью.

Благодарим Джоша Шнейера за сообщение об уязвимости.

Степень серьёзности этой проблемы оценивается как “низкая” согласно политике безопасности Django.