Archive des issues de sécuritéLien vers cette rubrique
L’équipe de développement de Django s’engage fortement au signalement et à la publication des failles de sécurité, comme expliqué dans politiques de sécurité de Django.
Dans le cadre de cet engagement, nous maintenons la liste historique suivante des problèmes qui ont été corrigés et publiés. Pour chaque problème, la liste ci-dessous contient la date, une brève description, l’identifiant CVE le cas échéant, une liste des versions concernées, un lien vers l’annonce complète et des liens vers les correctifs correspondants.
Quelques mises en garde importantes applicables à ces informations
Les listes des versions concernées ne contiennent que les versions de Django ayant un statut de stabilité et de prise en charge des correctifs de sécurité au moment de la publication de ces correctifs. Cela signifie que les anciennes versions (dont la prise en charge de la sécurité a expiré) et les versions dans un état de pré-publication (alpha/beta/RC) au moment de l’annonce pourraient également avoir été touchées, mais n’apparaissent pas dans la liste.
Le projet Django a émis de temps à autre des avertissements de sécurité signalant de potentiels problèmes de sécurité pouvant résulter de configurations incorrectes ou de l’utilisation de code externe à Django. Certains de ces avertissements ont reçu un code CVE ; lorsque c’est le cas, ils apparaissent dans cette liste, mais comme ils ne sont pas accompagnés de correctifs ou de publication de code, seules la description, l’annonce et le code CVE sont visibles.
Issues relevant du processus de sécurité de DjangoLien vers cette rubrique
Tous les problèmes de sécurité ont été traités dans le cadre du processus de sécurité de Django. Elles sont listées ci-dessous.
November 1, 2023 - CVE 2023-46695Lien vers cette rubrique
Potential denial of service vulnerability in UsernameField on Windows.
Full description
October 4, 2023 - CVE 2023-43665Lien vers cette rubrique
Denial-of-service possibility in django.utils.text.Truncator.
Full description
September 4, 2023 - CVE 2023-41164Lien vers cette rubrique
Potential denial of service vulnerability in
django.utils.encoding.uri_to_iri(). Full description
July 3, 2023 - CVE 2023-36053Lien vers cette rubrique
Potential regular expression denial of service vulnerability in
EmailValidator/URLValidator. Full description
May 3, 2023 - CVE 2023-31047Lien vers cette rubrique
Potential bypass of validation when uploading multiple files using one form field. Full description
February 14, 2023 - CVE 2023-24580Lien vers cette rubrique
Potential denial-of-service vulnerability in file uploads. Full description
February 1, 2023 - CVE 2023-23969Lien vers cette rubrique
Potential denial-of-service via Accept-Language headers. Full description
October 4, 2022 - CVE 2022-41323Lien vers cette rubrique
Potential denial-of-service vulnerability in internationalized URLs. Full description
August 3, 2022 - CVE 2022-36359Lien vers cette rubrique
Potential reflected file download vulnerability in FileResponse. Full description
July 4, 2022 - CVE 2022-34265Lien vers cette rubrique
Potential SQL injection via Trunc(kind) and Extract(lookup_name)
arguments. Full description
April 11, 2022 - CVE 2022-28346Lien vers cette rubrique
Potential SQL injection in QuerySet.annotate(), aggregate(), and
extra(). Full description
April 11, 2022 - CVE 2022-28347Lien vers cette rubrique
Potential SQL injection via QuerySet.explain(**options) on PostgreSQL.
Full description
February 1, 2022 - CVE 2022-22818Lien vers cette rubrique
Possible XSS via {% debug %} template tag. Full description
Versions affectéesLien vers cette rubrique
February 1, 2022 - CVE 2022-23833Lien vers cette rubrique
Denial-of-service possibility in file uploads. Full description
Versions affectéesLien vers cette rubrique
January 4, 2022 - CVE 2021-45452Lien vers cette rubrique
Potential directory-traversal via Storage.save(). Full description
Versions affectéesLien vers cette rubrique
January 4, 2022 - CVE 2021-45116Lien vers cette rubrique
Potential information disclosure in dictsort template filter. Full
description
Versions affectéesLien vers cette rubrique
January 4, 2022 - CVE 2021-45115Lien vers cette rubrique
Denial-of-service possibility in UserAttributeSimilarityValidator. Full
description
Versions affectéesLien vers cette rubrique
December 7, 2021 - CVE 2021-44420Lien vers cette rubrique
Potential bypass of an upstream access control based on URL paths. Full description
Versions affectéesLien vers cette rubrique
July 1, 2021 - CVE 2021-35042Lien vers cette rubrique
Potential SQL injection via unsanitized QuerySet.order_by() input. Full
description
Versions affectéesLien vers cette rubrique
June 2, 2021 - CVE 2021-33203Lien vers cette rubrique
Potential directory traversal via admindocs. Full description
Versions affectéesLien vers cette rubrique
June 2, 2021 - CVE 2021-33571Lien vers cette rubrique
Possible indeterminate SSRF, RFI, and LFI attacks since validators accepted leading zeros in IPv4 addresses. Full description
Versions affectéesLien vers cette rubrique
May 6, 2021 - CVE 2021-32052Lien vers cette rubrique
Header injection possibility since URLValidator accepted newlines in input
on Python 3.9.5+. Full description
Versions affectéesLien vers cette rubrique
May 4, 2021 - CVE 2021-31542Lien vers cette rubrique
Potential directory-traversal via uploaded files. Full description
Versions affectéesLien vers cette rubrique
6 avril 2021 - CVE 2021-28658Lien vers cette rubrique
Traversée de répertoires potentielle au moyen de fichiers téléversés. Description complète
Versions affectéesLien vers cette rubrique
Django 3.2 (correctif)
Django 3.1 (correctif)
Django 3.0 (correctif)
Django 2.2 (correctif)
19 février 2021 - CVE 2021-23336Lien vers cette rubrique
Empoisonnement de cache Web via django.utils.http.limited_parse_qsl(). Description complète
Versions affectéesLien vers cette rubrique
Django 3.2 (correctif)
Django 3.1 (correctif)
Django 3.0 (correctif)
Django 2.2 (correctif)
1er février 2021 - CVE 2021-3281Lien vers cette rubrique
Traversée de répertoires potentielle au moyen de archive.extract(). Description complète
Versions affectéesLien vers cette rubrique
Django 3.1 (correctif)
Django 3.0 (correctif)
Django 2.2 (correctif)
September 1, 2020 - CVE 2020-24584Lien vers cette rubrique
Permission escalation in intermediate-level directories of the file system cache on Python 3.7+. Full description
Versions affectéesLien vers cette rubrique
September 1, 2020 - CVE 2020-24583Lien vers cette rubrique
Incorrect permissions on intermediate-level directories on Python 3.7+. Full description
Versions affectéesLien vers cette rubrique
June 3, 2020 - CVE 2020-13596Lien vers cette rubrique
Possible XSS via admin ForeignKeyRawIdWidget. Full description
Versions affectéesLien vers cette rubrique
June 3, 2020 - CVE 2020-13254Lien vers cette rubrique
Potential data leakage via malformed memcached keys. Full description
Versions affectéesLien vers cette rubrique
March 4, 2020 - CVE 2020-9402Lien vers cette rubrique
Potential SQL injection via tolerance parameter in GIS functions and
aggregates on Oracle. Full description
Versions affectéesLien vers cette rubrique
February 3, 2020 - CVE 2020-7471Lien vers cette rubrique
Potential SQL injection via StringAgg(delimiter). Full description
Versions affectéesLien vers cette rubrique
December 18, 2019 - CVE 2019-19844Lien vers cette rubrique
Potential account hijack via password reset form. Full description
Versions affectéesLien vers cette rubrique
December 2, 2019 - CVE 2019-19118Lien vers cette rubrique
Privilege escalation in the Django admin. Full description
Versions affectéesLien vers cette rubrique
August 1, 2019 - CVE 2019-14235Lien vers cette rubrique
Potential memory exhaustion in django.utils.encoding.uri_to_iri(). Full
description
Versions affectéesLien vers cette rubrique
August 1, 2019 - CVE 2019-14234Lien vers cette rubrique
SQL injection possibility in key and index lookups for
JSONField/HStoreField. Full description
Versions affectéesLien vers cette rubrique
August 1, 2019 - CVE 2019-14233Lien vers cette rubrique
Denial-of-service possibility in strip_tags(). Full description
Versions affectéesLien vers cette rubrique
August 1, 2019 - CVE 2019-14232Lien vers cette rubrique
Denial-of-service possibility in django.utils.text.Truncator. Full
description
Versions affectéesLien vers cette rubrique
July 1, 2019 - CVE 2019-12781Lien vers cette rubrique
Incorrect HTTP detection with reverse-proxy connecting via HTTPS. Full description
Versions affectéesLien vers cette rubrique
June 3, 2019 - CVE 2019-12308Lien vers cette rubrique
XSS via « Current URL » link generated by AdminURLFieldWidget. Full
description
Versions affectéesLien vers cette rubrique
June 3, 2019 - CVE 2019-11358Lien vers cette rubrique
Prototype pollution in bundled jQuery. Full description
Versions affectéesLien vers cette rubrique
11 février 2019 - CVE 2019-6975Lien vers cette rubrique
Épuisement de mémoire dans django.utils.numberformat.format(). Description complète
Versions affectéesLien vers cette rubrique
Django 2.1 (correctif)
Django 2.0 (correctif et correction)
Django 1.11 (correctif)
4 janvier 2019 - CVE 2019-3498Lien vers cette rubrique
Possibilité de mystification de contenu dans la page 404 par défaut. Description complète
Versions affectéesLien vers cette rubrique
Django 2.1 (correctif)
Django 2.0 (correctif)
Django 1.11 (correctif)
1er octobre 2018 - CVE 2018-16984Lien vers cette rubrique
Révélation de l’empreinte de mots de passe pour les utilisateurs du site d’administration en « lecture seule ». Description complète
Versions affectéesLien vers cette rubrique
Django 2.1 (correctif)
1er août 2018 - CVE 2018-14574Lien vers cette rubrique
Possibilité de redirection ouverte dans CommonMiddleware. Description complète
Versions affectéesLien vers cette rubrique
Django 2.1 (correctif)
Django 2.0 (correctif)
Django 1.11 (correctif)
6 mars 2018 - CVE 2018-7537Lien vers cette rubrique
Possibilité de déni de service dans les filtres de gabarit truncatechars_html et truncatewords_html. Description complète
Versions affectéesLien vers cette rubrique
Django 2.0 (correctif)
Django 1.11 (correctif)
Django 1.8 (correctif)
6 mars 2018 - CVE 2018-7536Lien vers cette rubrique
Possibilité de déni de service dans les filtres de gabarit urlize et urlizetrunc. Description complète
Versions affectéesLien vers cette rubrique
Django 2.0 (correctif)
Django 1.11 (correctif)
Django 1.8 (correctif)
1er février 2018 - CVE 2018-6188Lien vers cette rubrique
Fuite d’informations dans le formulaire AuthenticationForm. Description complète
Versions affectéesLien vers cette rubrique
Django 2.0 (correctif)
Django 1.11 (correctif)
5 septembre 2017 - CVE 2017-12794Lien vers cette rubrique
Attaque XSS possible dans la section « traceback » de la page de débogage technique 500. Description complète
Versions affectéesLien vers cette rubrique
Django 1.11 (correctif)
Django 1.10 (correctif)
4 avril 2017 - CVE 2017-7234Lien vers cette rubrique
Vulnérabilité de redirection ouverte dans django.views.static.serve(). Description complète
Versions affectéesLien vers cette rubrique
Django 1.10 (correctif)
Django 1.9 (correctif)
Django 1.8 (correctif)
4 avril 2017 - CVE 2017-7233Lien vers cette rubrique
Redirection ouverte et attaque XSS possible par des URL de redirection numériques fournis par des utilisateurs. Description complète
Versions affectéesLien vers cette rubrique
Django 1.10 (correctif)
Django 1.9 (correctif)
Django 1.8 (correctif)
1er novembre 2016 - CVE 2016-9014Lien vers cette rubrique
Vulnérabilité de re-liaison DNS avec DEBUG=True. Description complète
Versions affectéesLien vers cette rubrique
Django 1.10 (correctif)
Django 1.9 (correctif)
Django 1.8 (correctif)
1er novembre 2016 - CVE 2016-9013Lien vers cette rubrique
Utilisateur avec mot de passe créé en dur lors du lancement des tests avec Oracle. Description complète
Versions affectéesLien vers cette rubrique
Django 1.10 (correctif)
Django 1.9 (correctif)
Django 1.8 (correctif)
26 septembre 2016 - CVE 2016-7401Lien vers cette rubrique
Contournement de protection CSRF pour un site avec Google Analytics. Description complète
Versions affectéesLien vers cette rubrique
Django 1.9 (correctif)
Django 1.8 (correctif)
18 juillet 2016 - CVE 2016-6186Lien vers cette rubrique
XSS dans les fenêtres d’ajout/modification d’éléments liés. Description complète
Versions affectéesLien vers cette rubrique
Django 1.9 (correctif)
Django 1.8 (correctif)
March 1, 2016 - CVE 2016-2513Lien vers cette rubrique
User enumeration through timing difference on password hasher work factor upgrade. Full description
Versions affectéesLien vers cette rubrique
Django 1.9 (patch)
Django 1.8 (correctif)
1 mars 2016 - CVE 2016-2512Lien vers cette rubrique
Redirection malicieuse et attaque XSS possible via des URL de redirection fournis par l’utilisateur et contenant de l’authentification basique. Description complète
Versions affectéesLien vers cette rubrique
Django 1.9 (correctif)
Django 1.8 (correctif)
1 février 2016 - CVE 2016-2048Lien vers cette rubrique
User with « change » but not « add » permission can create objects for
ModelAdmin’s with save_as=True. Full description
Versions affectéesLien vers cette rubrique
Django 1.9 (patch)
24 novembre 2015 - CVE 2015-8213Lien vers cette rubrique
Settings leak possibility in date template filter. Full description
Versions affectéesLien vers cette rubrique
18 août 2015 - CVE 2015-5963 / CVE 2015-5964Lien vers cette rubrique
Denial-of-service possibility in logout() view by filling session store.
Full description
Versions affectéesLien vers cette rubrique
8 juillet 2015 - CVE 2015-5145Lien vers cette rubrique
Denial-of-service possibility in URL validation. Full description
Versions affectéesLien vers cette rubrique
Django 1.8 (patch)
8 juillet 2015 - CVE 2015-5144Lien vers cette rubrique
Possibilité d’injection dans les en-têtes depuis que les validateurs acceptent des retours à ligne en entrée. Description complète
Versions affectéesLien vers cette rubrique
8 juillet 2015 - CVE 2015-5143Lien vers cette rubrique
Denial-of-service possibility by filling session store. Full description
Versions affectéesLien vers cette rubrique
20 mai 2015 - CVE 2015-3982Lien vers cette rubrique
Fixed session flushing in the cached_db backend. Full description
Versions affectéesLien vers cette rubrique
Django 1.8 (patch)
18 mars 2015 - CVE 2015-2317Lien vers cette rubrique
Attaque XSS atténuée possible via des URL de redirection fournis par l’utilisateur. Description complète
Versions affectéesLien vers cette rubrique
18 mars 2015 - CVE 2015-2316Lien vers cette rubrique
Possibilité de déni de service avec strip_tags(). Description complète
Versions affectéesLien vers cette rubrique
March 9, 2015 - CVE 2015-2241Lien vers cette rubrique
XSS attack via properties in ModelAdmin.readonly_fields. Full description
Versions affectéesLien vers cette rubrique
January 13, 2015 - CVE 2015-0222Lien vers cette rubrique
Database denial-of-service with ModelMultipleChoiceField. Full description
Versions affectéesLien vers cette rubrique
January 13, 2015 - CVE 2015-0221Lien vers cette rubrique
Denial-of-service attack against django.views.static.serve(). Full
description
Versions affectéesLien vers cette rubrique
January 13, 2015 - CVE 2015-0220Lien vers cette rubrique
Mitigated possible XSS attack via user-supplied redirect URLs. Full description
Versions affectéesLien vers cette rubrique
January 13, 2015 - CVE 2015-0219Lien vers cette rubrique
WSGI header spoofing via underscore/dash conflation. Full description
Versions affectéesLien vers cette rubrique
August 20, 2014 - CVE 2014-0483Lien vers cette rubrique
Data leakage via querystring manipulation in admin. Full description
Versions affectéesLien vers cette rubrique
August 20, 2014 - CVE 2014-0482Lien vers cette rubrique
RemoteUserMiddleware session hijacking. Full description
Versions affectéesLien vers cette rubrique
August 20, 2014 - CVE 2014-0481Lien vers cette rubrique
File upload denial of service. Full description
Versions affectéesLien vers cette rubrique
August 20, 2014 - CVE 2014-0480Lien vers cette rubrique
reverse() can generate URLs pointing to other hosts. Full description
Versions affectéesLien vers cette rubrique
May 18, 2014 - CVE 2014-3730Lien vers cette rubrique
Malformed URLs from user input incorrectly validated. Full description
Versions affectéesLien vers cette rubrique
May 18, 2014 - CVE 2014-1418Lien vers cette rubrique
Caches may be allowed to store and serve private data. Full description
Versions affectéesLien vers cette rubrique
April 21, 2014 - CVE 2014-0474Lien vers cette rubrique
MySQL typecasting causes unexpected query results. Full description
Versions affectéesLien vers cette rubrique
April 21, 2014 - CVE 2014-0473Lien vers cette rubrique
Caching of anonymous pages could reveal CSRF token. Full description
Versions affectéesLien vers cette rubrique
April 21, 2014 - CVE 2014-0472Lien vers cette rubrique
Unexpected code execution using reverse(). Full description
Versions affectéesLien vers cette rubrique
September 14, 2013 - CVE 2013-1443Lien vers cette rubrique
Denial-of-service via large passwords. Full description
Versions affectéesLien vers cette rubrique
Django 1.4 (patch and Python compatibility fix)
Django 1.5 (patch)
September 10, 2013 - CVE 2013-4315Lien vers cette rubrique
Directory-traversal via ssi template tag. Full description
Versions affectéesLien vers cette rubrique
August 13, 2013 - CVE 2013-6044Lien vers cette rubrique
Possible XSS via unvalidated URL redirect schemes. Full description
Versions affectéesLien vers cette rubrique
August 13, 2013 - CVE 2013-4249Lien vers cette rubrique
XSS via admin trusting URLField values. Full description
Versions affectéesLien vers cette rubrique
Django 1.5 (patch)
February 19, 2013 - CVE 2013-0306Lien vers cette rubrique
Denial-of-service via formset max_num bypass. Full description
Versions affectéesLien vers cette rubrique
February 19, 2013 - CVE 2013-0305Lien vers cette rubrique
Information leakage via admin history log. Full description
Versions affectéesLien vers cette rubrique
February 19, 2013 - CVE 2013-1664 / CVE 2013-1665Lien vers cette rubrique
Entity-based attacks against Python XML libraries. Full description
Versions affectéesLien vers cette rubrique
19 février 2013 - Pas de CVELien vers cette rubrique
Additional hardening of Host header handling. Full description
Versions affectéesLien vers cette rubrique
10 Décembre 2012 - Pas de CVE 2Lien vers cette rubrique
Additional hardening of redirect validation. Full description
Versions affectéesLien vers cette rubrique
10 décembre 2012 - Pas de CVE 1Lien vers cette rubrique
Additional hardening of Host header handling. Full description
Versions affectéesLien vers cette rubrique
October 17, 2012 - CVE 2012-4520Lien vers cette rubrique
Host header poisoning. Full description
Versions affectéesLien vers cette rubrique
July 30, 2012 - CVE 2012-3444Lien vers cette rubrique
Denial-of-service via large image files. Full description
Versions affectéesLien vers cette rubrique
July 30, 2012 - CVE 2012-3443Lien vers cette rubrique
Denial-of-service via compressed image files. Full description
Versions affectéesLien vers cette rubrique
July 30, 2012 - CVE 2012-3442Lien vers cette rubrique
XSS via failure to validate redirect scheme. Full description
Versions affectéesLien vers cette rubrique
September 9, 2011 - CVE 2011-4140Lien vers cette rubrique
Potential CSRF via Host header. Full description
Versions affectéesLien vers cette rubrique
This notification was an advisory only, so no patches were issued.
Django 1.2
Django 1.3
September 9, 2011 - CVE 2011-4139Lien vers cette rubrique
Host header cache poisoning. Full description
Versions affectéesLien vers cette rubrique
September 9, 2011 - CVE 2011-4138Lien vers cette rubrique
Information leakage/arbitrary request issuance via URLField.verify_exists.
Full description
Versions affectéesLien vers cette rubrique
September 9, 2011 - CVE 2011-4137Lien vers cette rubrique
Denial-of-service via URLField.verify_exists. Full description
Versions affectéesLien vers cette rubrique
September 9, 2011 - CVE 2011-4136Lien vers cette rubrique
Session manipulation when using memory-cache-backed session. Full description
Versions affectéesLien vers cette rubrique
February 8, 2011 - CVE 2011-0698Lien vers cette rubrique
Directory-traversal on Windows via incorrect path-separator handling. Full description
Versions affectéesLien vers cette rubrique
February 8, 2011 - CVE 2011-0697Lien vers cette rubrique
XSS via unsanitized names of uploaded files. Full description
Versions affectéesLien vers cette rubrique
February 8, 2011 - CVE 2011-0696Lien vers cette rubrique
CSRF via forged HTTP headers. Full description
Versions affectéesLien vers cette rubrique
December 22, 2010 - CVE 2010-4535Lien vers cette rubrique
Denial-of-service in password-reset mechanism. Full description
Versions affectéesLien vers cette rubrique
December 22, 2010 - CVE 2010-4534Lien vers cette rubrique
Information leakage in administrative interface. Full description
Versions affectéesLien vers cette rubrique
September 8, 2010 - CVE 2010-3082Lien vers cette rubrique
XSS via trusting unsafe cookie value. Full description
Versions affectéesLien vers cette rubrique
Django 1.2 (patch)
October 9, 2009 - CVE 2009-3965Lien vers cette rubrique
Denial-of-service via pathological regular expression performance. Full description
Versions affectéesLien vers cette rubrique
July 28, 2009 - CVE 2009-2659Lien vers cette rubrique
Directory-traversal in development server media handler. Full description
Versions affectéesLien vers cette rubrique
September 2, 2008 - CVE 2008-3909Lien vers cette rubrique
CSRF via preservation of POST data during admin login. Full description
Versions affectéesLien vers cette rubrique
May 14, 2008 - CVE 2008-2302Lien vers cette rubrique
XSS via admin login redirect. Full description
Versions affectéesLien vers cette rubrique
October 26, 2007 - CVE 2007-5712Lien vers cette rubrique
Denial-of-service via arbitrarily-large Accept-Language header. Full
description
Versions affectéesLien vers cette rubrique
Problèmes précédant le processus de sécurité de DjangoLien vers cette rubrique
Certains problèmes de sécurité ont été gérés avant que Django possède un processus de sécurité formel. Pour ceux-ci, il se peut qu’il n’y ait pas eu de nouvelles publications de Django et qu’aucun code CVE n’ait été demandé.
January 21, 2007 - CVE 2007-0405Lien vers cette rubrique
Apparent « caching » of authenticated user. Full description
Versions affectéesLien vers cette rubrique
Django 0.95 (patch)
August 16, 2006 - CVE 2007-0404Lien vers cette rubrique
Filename validation issue in translation framework. Full description