Django 自定义Storage子类存在路径遍历漏洞(CVE-2024-39330)
CVE编号
CVE-2024-39330利用情况
暂无补丁情况
N/A披露时间
2024-07-10漏洞描述
Django 是Python编写的开源Web应用框架，generate_filename 方法是 django.core.files.storage.Storage 类中用于生成文件名的方法。 受影响版本中，如果开发者重写 django.core.files.storage.Storage 的 generate_filename 方法时未对文件名进行校验则会导致路径遍历漏洞。 攻击者可利用该漏洞构造恶意的文件名(如：../)，当目标系统调用 save() 方法保存文件时可读取或修改系统上的敏感文件。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://docs.djangoproject.com/en/dev/releases/security/ | |
| https://groups.google.com/forum/ | |
| https://www.djangoproject.com/weblog/2024/jul/09/security-releases/ |
- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论