प्लेटफ़ॉर्म
python
घटक
django
में ठीक किया गया
1.2.8
1.2.7
1.2.7
CVE-2011-4140 एक क्रॉस-साइट स्क्रिप्टिंग (CSRF) भेद्यता है जो Django वेब फ्रेमवर्क के संस्करण 1.3 और उससे पहले के संस्करणों को प्रभावित करती है। यह भेद्यता हमलावरों को DNS CNAME रिकॉर्ड और JavaScript कोड का उपयोग करके अनधिकृत अनुरोधों को ट्रिगर करने की अनुमति देती है। Django 1.2.7 में इस समस्या का समाधान किया गया है।
यह CSRF भेद्यता हमलावरों को Django एप्लिकेशन पर उपयोगकर्ता की ओर से कार्य करने की अनुमति देती है, बिना उपयोगकर्ता की जानकारी या सहमति के। हमलावर एक दुर्भावनापूर्ण वेब पेज बना सकते हैं जिसमें JavaScript कोड शामिल है जो उपयोगकर्ता के ब्राउज़र को अनधिकृत अनुरोध भेजने के लिए मजबूर करता है। उदाहरण के लिए, एक हमलावर उपयोगकर्ता के खाते से पैसे ट्रांसफर करने या संवेदनशील डेटा बदलने के लिए इस भेद्यता का उपयोग कर सकता है। DNS CNAME रिकॉर्ड का उपयोग करके, हमलावर एक ऐसे डोमेन को इंगित कर सकता है जो Django एप्लिकेशन के समान दिखता है, जिससे उपयोगकर्ता को धोखा देना आसान हो जाता है।
CVE-2011-4140 को सार्वजनिक रूप से उजागर किया गया है और इसके लिए सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) मौजूद हैं। CISA KEV सूची में इस CVE को शामिल नहीं किया गया है। NVD ने 2011-10-19 को इस भेद्यता को प्रकाशित किया।
एक्सप्लॉइट स्थिति
EPSS
0.34% (57% शतमक)
CVSS वेक्टर
CVE-2011-4140 को कम करने के लिए, Django के नवीनतम संस्करण (1.2.7 या बाद का) में अपग्रेड करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो वेब सर्वर कॉन्फ़िगरेशन को संशोधित करके HTTP Host हेडर को सीमित करने पर विचार करें। यह सुनिश्चित करें कि Django एप्लिकेशन केवल विश्वसनीय डोमेन से अनुरोधों को स्वीकार करता है। इसके अतिरिक्त, CSRF टोकन को ठीक से लागू करना और सभी संवेदनशील कार्यों के लिए उनका उपयोग करना महत्वपूर्ण है।
कोई आधिकारिक पैच उपलब्ध नहीं है। वैकल्पिक समाधान खोजें या अपडेट की निगरानी करें।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2011-4140 Django वेब फ्रेमवर्क के पुराने संस्करणों में एक CSRF भेद्यता है, जो हमलावरों को अनधिकृत अनुरोधों को ट्रिगर करने की अनुमति देती है।
यदि आप Django के संस्करण 1.3 या उससे पहले का उपयोग कर रहे हैं, तो आप इस भेद्यता से प्रभावित हैं।
Django के नवीनतम संस्करण (1.2.7 या बाद का) में अपग्रेड करें। यदि अपग्रेड संभव नहीं है, तो वेब सर्वर कॉन्फ़िगरेशन को संशोधित करके HTTP Host हेडर को सीमित करें।
CVE-2011-4140 को सार्वजनिक रूप से उजागर किया गया है और इसके लिए सार्वजनिक PoC मौजूद हैं, इसलिए सक्रिय शोषण की संभावना है।
Django आधिकारिक सलाहकार यहां पाया जा सकता है: https://www.djangoproject.com/weblog/2011/10/19/security-vulnerability-in-django/
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी requirements.txt फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।