Django release reports :

CVE-2019-19118: Privilege escalation in the Django admin.

Since Django 2.1, a Django model admin displaying a parent model with related model inlines, where the user has view-only permissions to a parent model but edit permissions to the inline model, would display a read-only view of the parent model but editable forms for the inline.

Submitting these forms would not allow direct edits to the parent model, but would trigger the parent model's save() method, and cause pre and post-save signal handlers to be invoked. This is a privilege escalation as a user who lacks permission to edit a model should not be able to trigger its save-related signals.

The remote host is affected by the vulnerability described in GLSA-202004-17 (Django: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Django. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker, by sending specially crafted input, could possibly       cause a Denial of Service condition, or alter the database.
  Workaround :

    There is no known workaround at this time.

bugfix release for CVE-2019-19118

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Django releaseによる報告: 

CVE-2019-19118:Django管理者の権限昇格。

Django 2.1以降、Djangoモデル管理者は親モデルを関連モデルインラインで表示します。ユーザーは親モデルに対しては表示のみが許可され、インラインモデルに対しては編集が許可されるため、親モデルの読み取り専用ビューとインラインの編集可能なフォームが表示されます。

これらのフォームを送信すると、親モデルを直接編集できなくなりますが、親モデルのsave()メソッドがトリガーされ、保存前および保存後のシグナルハンドラーが呼び出されます。これは権限昇格です。モデルの編集が許可されていないユーザーは、保存関連のシグナルをトリガーできません。

CVE-2019-19118のバグ修正リリース

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

遠端主機受到 GLSA-202004-17 中所述的弱點影響 (Django：多個弱點)

    在 Django 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可傳送特別構建的輸入，進而可能造成拒絕服務情形，或更改資料庫。
  因應措施：

    目前尚無已知的因應措施。

远程主机受到 GLSA-202004-17 中所述漏洞的影响（Django：多个漏洞）

    已在 Django 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可发送特别构建的输入，这可能导致拒绝服务情况，或更改数据库。
  变通方案：

    目前无任何已知的变通方案。

Django 版本報告：CVE-2019-19118：Django 管理介面中發生權限提升。自從 Django 2.1 以來，顯示父項模型 (具有相關模型內嵌) 的 Django 模型管理介面 (使用者對父項模型有唯讀權限，但對內嵌模型有編輯權限) 會顯示父項模型的唯讀檢視畫面，但內嵌的可編輯表格除外。提交這些表格並不允許直接編輯父項模型，而是會觸發父項模型的 save() 方法，並造成 pre 和 post-save 訊號處置程式遭到叫用。這是權限提升狀況，因為沒有模型編輯權限的使用者不應能夠觸發其 save 相關訊號。

Django 版本报告：CVE-2019-19118：Django 管理员中权限升级。自 Django 2.1 起，显示父模型（带有相关模型内联项）的 Django 模型管理员，如果该用户对父模型拥有仅查看权限，但对内联模型拥有编辑权限，就会显示父模型的只读视图，但为内联项显示可编辑表单。提交这些表单不会允许直接编辑父模型，但可能会触发父模型的 save() 方法，造成调用保存前和保存后的信号处理程序。无权编辑模型的用户本应无法触发与保存有关的信号，此为权限提升。

ID	Name	Product	Family	Published	Updated	Severity
131470	FreeBSD : Django -- multiple vulnerabilities (4e3fa78b-1577-11ea-b66e-080027bdabe8)	Nessus	FreeBSD Local Security Checks	12/3/2019	2/4/2020	medium
136216	GLSA-202004-17 : Django: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	5/1/2020	3/14/2024	critical
132270	Fedora 31 : python-django (2019-adc8990386)	Nessus	Fedora Local Security Checks	12/19/2019	1/29/2021	medium
131470	FreeBSD：Django -- 複数の脆弱性（4e3fa78b-1577-11ea-b66e-080027bdabe8）	Nessus	FreeBSD Local Security Checks	12/3/2019	2/4/2020	medium
132270	Fedora 31：python-django（2019-adc8990386）	Nessus	Fedora Local Security Checks	12/19/2019	1/29/2021	medium
136216	GLSA-202004-17：Django：多個弱點	Nessus	Gentoo Local Security Checks	5/1/2020	3/14/2024	critical
136216	GLSA-202004-17：Django：多个漏洞	Nessus	Gentoo Local Security Checks	5/1/2020	3/14/2024	critical
131470	FreeBSD：Django -- 多個弱點 (4e3fa78b-1577-11ea-b66e-080027bdabe8)	Nessus	FreeBSD Local Security Checks	12/3/2019	2/4/2020	medium
131470	FreeBSD : Django -- 多个漏洞 (4e3fa78b-1577-11ea-b66e-080027bdabe8)	Nessus	FreeBSD Local Security Checks	12/3/2019	2/4/2020	medium

Detections

Analytics

Plugins Search

medium

critical

medium

medium

medium

critical

critical

medium

medium