在 Django（高级 Python Web 开发框架）中发现多个漏洞。通用漏洞和暴露计划识别以下问题：- CVE-2016-9013 Marti Raudsepp 报告在使用 Oracle 数据库运行测试时会使用硬编码密码创建用户。- CVE-2016-9014 Aymeric Augustin 发现在启用调试设置时，Django 未能正确对照 settings.ALLOWED_HOSTS 验证主机标头。远程攻击者可利用此缺陷执行 DNS 重新绑定攻击。- CVE-2017-7233 已发现 is_safe_url() 未正确将某些数字 URL 处理为安全。远程攻击者可能利用此缺陷执行 XSS 攻击或使用 Django 服务器作为公开重定向。- CVE-2017-7234 Chaitin Tech 的 Phithon 在 django.views.static.serve() 视图中发现一个公开重定向漏洞。请注意，此视图并非预期用于生产。

检测

Debian DSA-3835-1：python-django - 安全更新

critical Nessus 插件 ID 99695

版本 3.8