Bulletin d'alerte Debian
DSA-3230-1 django-markupfield -- Mise à jour de sécurité
- Date du rapport :
- 20 avril 2015
- Paquets concernés :
- django-markupfield
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le dictionnaire CVE du Mitre : CVE-2015-0846.
- Plus de précisions :
-
James P. Turk a découvert que le moteur de rendu ReST de django-markupfield, un champ Django personnalisé pour l'utilisation facile de balises dans les champs texte, ne désactivait la directive ..raw, permettant à des attaquants distants d'inclure des fichiers arbitraires.
Pour la distribution stable (Wheezy), ce problème a été corrigé dans la version 1.0.2-2+deb7u1.
Pour la prochaine distribution stable (Jessie), ce problème a été corrigé dans la version 1.2.1-2+deb8u1.
Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1.3.2-1.
Nous vous recommandons de mettre à jour vos paquets django-markupfield.