PT-2020-18320 · Django · Django-User-Sessions

Bouke · Publicado 2020-01-24 · Atualizado 2020-01-29 · CVE-2020-5224

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do django-user-sessions anteriores à 1.7.1

Descrição

As visualizações fornecidas pelo django-user-sessions permitem que os usuários encerrem sessões específicas, e a chave de sessão é incluída no HTML renderizado. Isso não é um problema em si, mas se o site tiver uma vulnerabilidade XSS, a chave de sessão poderá ser extraída pelo invasor, levando potencialmente à apropriação da sessão.

Recomendações

Para versões anteriores à 1.7.1, remova a session key do modelo como uma solução alternativa até que um patch esteja disponível.

Correção

Improper Authentication

Inadequate Encryption Strength

Enumeração de Fraquezas

CWE-287

CWE-326

Identificadores relacionados

CVE-2020-5224

GHSA-5FQ8-3Q2F-4M5G

PYSEC-2020-230

Produtos afetados

Django-User-Sessions

Referências · 8

• https://github.com/jazzband/django-user-sessions/commit/f0c4077e7d1436ba6d721af85cee89222ca5d2d9 · Correção
• https://github.com/Bouke/django-user-sessions/security/advisories/GHSA-5fq8-3q2f-4m5g · Nota
• https://github.com/Bouke/django-user-sessions · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/django-user-sessions/PYSEC-2020-230.yaml · Nota
• https://osv.dev/vulnerability/CVE-2020-5224 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-5224 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5fq8-3q2f-4m5g · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2020-230 · Aviso do Fabricante