Bulletin d'alerte Debian

DSA-3678-1 python-django -- Mise à jour de sécurité

Date du rapport :
26 septembre 2016
Paquets concernés :
python-django
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2016-7401.
Plus de précisions :

Sergey Bobrov a découvert que l'analyse des cookies dans Django et Google Analytics interagissaient d'une façon permettant à un attaquant de régler des cookies arbitraires. Cela permet à d'autres sites web malveillants de contourner les protections contre la contrefaçon de requête intersite (CSRF) intégrées à Django.

Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 1.7.11-1+deb8u1.

Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1:1.10-1.

Nous vous recommandons de mettre à jour vos paquets python-django.