CVE-2019-19844：Django潜在帐户劫持漏洞警报


最近，Django正式发布了一个安全公告，以修复安全漏洞。 高风险漏洞为CVE-2019-19844。 Django的密码重设表单使用不区分大小写的查询来检索与请求密码重设的电子邮件地址匹配的帐户。

Ubuntu 18.04 LTS 上安装 Django 图文详解

知道与用户帐户相关联的电子邮件地址的攻击者可以制作与该帐户相关联的地址不同的电子邮件地址，但是由于Unicode大小写转换的行为，该电子邮件地址在大小写转换后不再与众不同。 否则将比较给定的数据库大小写转换或排序行为。 在这种情况下，攻击者可以收到用户帐户的有效密码重置令牌。

受影响的版本

  • Django master分支
  • Django 3.0
  • Django 2.2
  • Django 1.11

解决方案：

Django正式发布了补丁来修复此漏洞，请受影响的用户尽快升级Django。

Ubuntu 18.04 LTS 上安装 Django 图文详解  https://www.linuxboy.net/Linux/2019-12/161673.htm

Django 3.0 发布，内置异步功能并支持MariaDB和Python 3.6、3.7和3.8  https://www.linuxboy.net/Linux/2019-12/161672.htm

linuxboy的RSS地址：https://www.linuxboy.net/rssFeed.aspx

本文永久更新链接地址：https://www.linuxboy.net/Linux/2019-12/161762.htm

相关内容