La
Django Software Foundation ha publicado
nuevas versiones de las ramas Django
1.9 y 1.8 de Django, que solucionan una vulnerabilidad
que podría permitir construir ataques de
cross-site request forgery.
Django es un framework de código
abierto basado en Python para el desarrollo de sitios web siguiendo el patrón
MVC (Modelo-Vista-Controlador). Fue publicado por primera vez en 2005, y desde
entonces su uso ha experimentado un considerable crecimiento entre los
desarrolladores. Se compone de una serie de herramientas para facilitar la
creación de páginas Web, siguiendo las directrices 'DRY' (Do not repeat yourself – No se repita) evitando redundancias
de código y consecuentemente reduciendo tiempo y esfuerzo.
La vulnerabilidad, identificada
como CVE-2016-7401, reside en la interacción entre Google
Analytics y el tratamiento de cookies de Django y podría permitir a un atacante
configurar cookies arbitrarias que pueden permitir evitar las protecciones CSRF
(Cross-Site Request Forgery). Evidentemente solo se ven afectados los sitios que
hagan uso de Google Analytics.
Django Software Foundation ha publicado las versiones Django 1.9.10
y 1.8.15
de Django que solucionan la vulnerabilidad. Las actualizaciones están disponibles
a través del repositorio PyPi o la página oficial de Django.
Django 1.9.10
Django 1.8.15
Más información:
Django security releases issued: 1.9.10 and
1.8.15
Antonio Ropero
Twitter: @aropero
No hay comentarios:
Publicar un comentario