Django敏感信息泄露漏洞

漏洞起因
设计错误信息泄露
危险等级

影响系统
Django 1.3.x
Django 1.4.x

不受影响系统

危害
远程攻击者可以利用漏洞获得敏感信息。

攻击所需条件
攻击者必须访问Django应用。

漏洞信息
Django是一款开放源代码的Web应用框架,由Python写成。
Django应用管理接口处理查看访问历史时不正确校验访问权限,允许攻击者利用漏洞查看管理接口中的任意对象的历史信息。

测试方法

厂商解决方案
Django 1.3.6和1.4.4已经修复此漏洞,建议用户下载使用:
https://www.djangoproject.com

漏洞提供者
Orange Tsai