Djangoリリースノート：

CVE-2018-6188:AuthenticationFormでの情報漏洩

Django 1.11.8での回帰によって、正しくないパスワードが入力された場合でも、AuthenticationFormがそのconfirm_login_allowed()メソッドを実行します。これにより、confirm_login_allowed()が表示するメッセージによっては、ユーザーに関する情報が漏洩する可能性があります。confirm_login_allowed()がオーバーライドされない場合、攻撃者は任意のユーザー名を入力し、そのユーザーがis_active=Falseに設定されているかどうかを確認します。confirm_login_allowed()がオーバーライドされると、さらに機密性の高い詳細が漏洩する可能性があります。

この問題は、認証バックエンドが非アクティブなユーザーを拒否する場合、AuthenticationFormが「このアカウントは無効です」エラーを表示できなくなったことを示す警告で修正されています（Django 1.10以降は、デフォルトの認証バックエンドであるModelBackendがこれに対応しています）。この問題は、警告に対応する修正が古いバージョンに含めるには侵害的すぎる可能性が高いため、Django 2.1で再検討されます。

検出

FreeBSD：Django -- 情報漏洩（d696473f-9f32-42c5-a106-bf4536fb1f74）

high Nessus プラグイン ID 106599

変更ログが見つかりません