CVE-2014-0480

描述

The core.urlresolvers.reverse function in Django before 1.4.14, 1.5.x before 1.5.9, 1.6.x before 1.6.6, and 1.7 before release candidate 3 does not properly validate URLs, which allows remote attackers to conduct phishing attacks via a // (slash slash) in a URL, which triggers a scheme-relative URL to be generated.

如何修補 CVE-2014-0480

要修補 CVE-2014-0480,請將受影響套件升級到下列已修補版本。

• —升級至 1.6.6-1 或更新版本
• —升級至 1.2.3-3+squeeze11 或更新版本
• —升級至 1.4.5-1+deb7u8 或更新版本
• —升級至 1.4.14 或更新版本
• —升級至 1.4.14 或更新版本

CVE-2014-0480 正在被利用嗎?

低 — EPSS 為 2.3%,目前沒有觀察到大規模利用活動。

受影響套件(5)

• from 0, < 1.6.6-1
• from 0, < 1.2.3-3+squeeze11
• from 0, < 1.4.5-1+deb7u8
• from 0, < 1.4.14
• from 0, < 1.4.14, >= 1.5, < 1.5.9, >= 1.6, < 1.6.6

CVSS 分數

參考連結(17)

• ADVISORYsecunia.com/advisories/59782
• ADVISORYsecunia.com/advisories/61276
• ADVISORYsecunia.com/advisories/61281
• ADVISORYgithub.com/advisories/GHSA-f7cm-ccfp-3q4r
• ADVISORYnvd.nist.gov/vuln/detail/CVE-2014-0480