Kyle Kelley 报告：

汇总：通过 IPython REST API 暴露的 POST 请求易受跨站请求伪造 (CSRF) 攻击。不同域上的网页可向已知的 IPython URL 发出非 AJAX POST 请求，而 IPython 将遵从这些请求。用户的浏览器将自动发送 IPython Cookie 及请求。响应受到同源策略阻断，而请求不会。

有问题的 API 路径：

- POST /api/contents/<path>/<file>

- POST /api/contents/<path>/<file>/checkpoints

- POST /api/contents/<path>/<file>/checkpoints/<checkpoint_id>

- POST /api/kernels

- POST /api/kernels/<kernel_id>/<action>

- POST /api/sessions

- POST /api/clusters/<cluster_id>/<action>

检测

FreeBSD : devel/ipython -- CSRF 可能的远程执行漏洞 (81326883-2905-11e5-a4a5-002590263bf5)

high Nessus 插件 ID 84707

未找到变更日志