Django-Select2 Kwetsbaar voor Widget Instance Secret Cache Key Leaking

De impact van deze kwetsbaarheid is significant. Een aanvaller kan, door het lekken van toegangstokens, ongeautoriseerde querysets en data benaderen. Dit kan leiden tot datalekken, manipulatie van data en mogelijk zelfs volledige controle over de applicatie. De kwetsbaarheid is vooral relevant in scenario's waar widget instances worden gecreëerd tijdens app loading, en niet tijdens een request. Dit maakt het mogelijk voor een aanvaller om de tokens te onderscheppen en te gebruiken voor ongeautoriseerde toegang.

Applications using django-select2 versions 8.4.0 and earlier are at risk, particularly those that rely on access tokens for authorization and where widgets are initialized during application loading. Shared hosting environments utilizing vulnerable versions of django-select2 are also at increased risk.

• python / application: Examine application code for instances of HeavySelect2Mixin and related widgets. Check for unusual access token handling or storage.

# Example: Check for widget initialization during app loading
import inspect
import django
django.setup()
from .models import MyModel
from .forms import MyForm

# Check if MyForm's widgets are initialized during app loading
form = MyForm()
print(inspect.getmembers(form.fields['my_select_field'].widget))

1. 2025-05-27Disclosure

   disclosure

1. Gereserveerd2025-05-19
2. Gepubliceerd2025-05-27
3. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar django-select2 versie 8.4.1 of hoger. Indien een upgrade direct niet mogelijk is, is het belangrijk om te controleren of widget instances worden gecreëerd tijdens app loading. Indien dit niet het geval is, is de kwetsbaarheid minder relevant. Daarnaast kan het implementeren van strikte toegangscontroles en het regelmatig roteren van toegangstokens helpen om de impact te beperken. Controleer na de upgrade of de fix correct is geïmplementeerd door te verifiëren dat toegangstokens niet langer gelekt worden.