CVE-2025-24370
Açıklama
Django-Unicorn, Django şablonlarına modern reaktif bileşen işlevselliği ekler. Django-Unicorn'un etkilenen sürümleri, python sınıf kirliliği (class pollution) zafiyetine karşı savunmasızdır. Zafiyet, kullanıcıların uygun bileşen istekleri oluşturup savunmasız fonksiyonun ikinci ve üçüncü parametrelerine değerler besleyerek uzaktan tetikleyebileceği temel `set_property_value` işlevinden kaynaklanmakta ve python çalışma zamanı durumunda rastgele değişikliklere yol açmaktadır. Bu bulguyla birlikte, neredeyse her Django-Unicorn tabanlı uygulamada kararlı bir şekilde Siteler Arası Betik Çalıştırma (XSS), Hizmet Reddi (DoS) ve Kimlik Doğrulama Atlatma saldırılarıyla sonuçlanan en az beş farklı zafiyet istismar yöntemi gözlemlenmiştir. Bu sorun 0.62.0 sürümünde giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu zafiyet için bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- django-unicorn0.62.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| django-unicornPyPI | v < 0.62.0 | 0.62.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.