已在 python-django 中发现并修正了一个漏洞：

Rainer Koirikivi 发现 python-django（一个高级 Python Web 开发框架）中的“ssi”模板标签存在目录遍历漏洞。已经表明，在处理用于表示 {% ssi %} 模板标签允许的前缀的“ALLOWED_INCLUDE_ROOTS”设置时容易遭受目录遍历攻击，攻击方式是指定以“ALLOWED_INCLUDE_ROOTS”中目录的绝对路径开始、然后使用相对路径打破的文件路径。要利用此漏洞，攻击者必须能够更改站点上的模板，或者要攻击的站点必须有一个或多个模板在使用“ssi”标签，并且必须允许某种未经审查的用户输入用作“ssi”标签的参数 (CVE-2013-4315)。

更新后的程序包已进行修补，以修正此问题。

检测

Mandriva Linux 安全公告：python-django (MDVSA-2013:234)

medium Nessus 插件 ID 69892

未找到变更日志