Jeroen Dekkers 等人报告 Python Web 框架 Django 中的多个漏洞。通用漏洞和暴露计划定义以下问题：

- CVE-2012-3442 两个函数未验证重定向目标的方案，这可能允许远程攻击者通过 data: URL 进行跨站脚本 (XSS) 攻击。

- CVE-2012-3443 ImageField 类在图像验证期间对图像数据进行完全解压缩，这允许远程攻击者通过上传图像文件造成拒绝服务（内存消耗）。

- CVE-2012-3444 图像处理功能中的 get_image_dimensions 函数在所有确定尺寸的尝试中使用不变的区块大小，这允许远程攻击者通过大型 TIFF 图像造成拒绝服务（进程或线程消耗）。

已在 python-django 中发现并修正了多种漏洞：

低于 1.3.2 的 Django 和低于 1.4.1 的 Django 1.4.x 中的 (1) django.http.HttpResponseRedirect 和 (2) django.http.HttpResponsePermanentRedirect 类未验证重定向目标的方案，这可能允许远程攻击者通过 data: URL 进行跨站脚本 (XSS) 攻击 (CVE-2012-3442)。

在低于 1.3.2 的 Django 和低于 1.4.1 的 Django 1.4.x 中，表单系统中的 django.forms.ImageField 类在图像验证期间完全解压缩图像数据，这允许远程攻击者通过上传图像文件造成拒绝服务（内存消耗）(CVE-2012-3443)。

在低于 1.3.2 的 Django 和低于 1.4.1 的 Django 1.4.x 中，图像处理功能中的 get_image_dimensions 函数在确定尺寸的所有尝试中使用不变的区块大小，这允许远程攻击者通过大型 TIFF 图像造成拒绝服务（进程或线程消耗）(CVE-2012-3444)。

已将更新后的程序包已升级到 1.3.3 版本，因此不易受到这些问题的影响。

安全版本 https://www.djangoproject.com/weblog/2012/jul/30/security-releases-issued/

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Python Django 已更新，修复了若干安全问题。

CVE-2012-3442：认证视图中的跨站脚本 CVE-2012-3443：图像验证中的拒绝服务 CVE-2012-3444：
通过 get_image_dimensions() 进行的拒绝服务

Django 项目报告：

今天 Django 团队发布了多个版本 -- Django 1.3.2 和 Django 1.4.1 -- 以修补向我们报告的安全问题：

- 认证视图中的跨站脚本

- 图像验证中的拒绝服务

- 通过 get_image_dimensions() 造成的拒绝服务

建议所有用户立即升级 Django。

已发现 Django 未正确验证重定向目标的方案。如果用户受到诱骗打开特别构建的 URL，攻击者可能利用此问题进行跨站脚本 (XSS) 攻击。(CVE-2012-3442)

已发现 Django 未正确处理某些图像的验证。远程攻击者可利用此缺陷造成服务器消耗内存，从而导致拒绝服务。(CVE-2012-3443)

Jeroen Dekkers 发现，Django 未正确处理某些图像尺寸。远程攻击者可利用此缺陷造成服务器消耗资源，从而导致拒绝服务。
(CVE-2012-3444)。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
61538	Debian DSA-2529-1：python-django - 多个漏洞	Nessus	Debian Local Security Checks	2012/8/15	2021/1/11	medium
61988	Mandriva Linux 安全公告：python-django (MDVSA-2012:143)	Nessus	Mandriva Local Security Checks	2012/9/6	2021/1/6	medium
61500	Fedora 16：Django-1.3.2-1.fc16 (2012-11416)	Nessus	Fedora Local Security Checks	2012/8/13	2021/1/11	medium
74704	openSUSE 安全更新：python-django (openSUSE-SU-2012:0970-1)	Nessus	SuSE Local Security Checks	2014/6/13	2021/1/19	medium
61375	FreeBSD：django -- 多种漏洞 (f01292a0-db3c-11e1-a84b-00e0814cab4e)	Nessus	FreeBSD Local Security Checks	2012/8/1	2021/1/6	medium
61499	Fedora 17：Django-1.4.1-1.fc17 (2012-11415)	Nessus	Fedora Local Security Checks	2012/8/13	2021/1/11	medium
62038	Ubuntu 10.04 LTS / 11.04 / 11.10 / 12.04 LTS：python-django 漏洞 (USN-1560-1)	Nessus	Ubuntu Local Security Checks	2012/9/11	2019/9/19	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium