Django 3.2.11 release notes

4 janvier 2022

Django 3.2.11 fixes one security issue with severity « medium » and two security issues with severity « low » in 3.2.10.

CVE-2021-45115 : possibilité de déni de service dans UserAttributeSimilarityValidator

UserAttributeSimilarityValidator provoquait une surcharge significative lorsqu’il évaluait un mot de passe artificiellement long relativement aux valeurs comparées. Dans le cas où l’accès à l’enregistrement des utilisateurs était non restreint, ceci se révélait être un vecteur potentiel d’attaque par déni de service.

Afin de combler cette faille, les valeurs relativement longues sont dorénavant ignorées par UserAttributeSimilarityValidator.

La sévérité de cette faille est jugée comme « moyenne » selon la politique de sécurité de Django.

CVE-2021-45116: divulgation potentielle d’informations dans le filtre de gabarit dictsort

Au moyen de l’exploitation de la logique de résolution de variables du langage de gabarit de Django, le filtre de gabarit dictsort était potentiellement vulnérable à une divulgation d’informations ou à des appels de méthodes non désirés, si une certaine clé malveillante était transmise.

Afin d’empêcher cette possibilité, dictsort utilise dorénavant une logique de résolution restreinte, qui n’appelle pas de méthodes et ne permet plus les indexations de dictionnaires.

Pour rappel, toutes les données non fiables provenant des utilisateurs doivent être validées avant d’être réutilisées.

La sévérité de cette faille est jugée comme « basse » selon la politique de sécurité de Django.

CVE-2021-31542 : traversée potentielle de répertoires via Storage.save()

Storage.save() permettait une traversée de répertoires si des noms de fichiers malveillants étaient transmis.

La sévérité de cette faille est jugée comme « basse » selon la politique de sécurité de Django.