CVE-2020-35681
Təsvir
3.0.3 versiyasından əvvəlki Django Channels 3.x uzaqdakı hücumçulara fərqli sorğu sahəsindən həssas məlumatları əldə etməyə imkan verir. Django 3.0-dan əvvəl ASGI mühitində HTTP tipli sorğuların idarə edilməsi üçün istifadə olunan köhnə channels.http.AsgiHandler sinfi, Channels 3.0-da sorğu sahələrini düzgün şəkildə ayırmırdı. Bir çox hallarda bu, sistemin çökməsinə səbəb olsa da, düzgün zamanlama ilə cavablar yanlış kliyentə göndərilə bilərdi ki, bu da sessiya identifikatorlarının və digər həssas məlumatların potensial sızmasına gətirib çıxarırdı. Qeyd edək ki, bu, yalnız Channels tərəfindən təmin edilən köhnə sinifə təsir edir və Django 3.0-dan etibarən mövcud olan Django-nun oxşar ASGIHandler sinfinə təsir etmir.
Necə düzəltmək olar
- djangoproject channels3.0.3 və ya daha yeni versiya
- channels3.0.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| djangoproject channels | 3.0.0 ≤ v < 3.0.3 | 3.0.3 |
| channelsPyPI | 3.0.0 ≤ v < 3.0.3 | 3.0.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.