Django 版本报告：CVE-2019-19118：Django 管理员中权限升级。自 Django 2.1 起，显示父模型（带有相关模型内联项）的 Django 模型管理员，如果该用户对父模型拥有仅查看权限，但对内联模型拥有编辑权限，就会显示父模型的只读视图，但为内联项显示可编辑表单。提交这些表单不会允许直接编辑父模型，但可能会触发父模型的 save() 方法，造成调用保存前和保存后的信号处理程序。无权编辑模型的用户本应无法触发与保存有关的信号，此为权限提升。

检测

FreeBSD : Django -- 多个漏洞 (4e3fa78b-1577-11ea-b66e-080027bdabe8)

medium Nessus 插件 ID 131470

未找到变更日志