Djangoセキュリティリリースを発行: 

AdminURLFieldWidgetによって生成されるクリック可能な「Current URL」リンクが、指定される値を、安全なURLとしての検証を行わずに表示します。
このため、データベースに保存されている未検証の値、またはURLクエリパラメーターペイロードとして指定された値が原因で、クリック可能なJavaScriptリンクが生成される可能性があります。

Object.prototypeが汚染されているため、3.4.0より前のjQueryはjQuery.extend(true,{}, ...)を誤って処理します。サニタイズされていないソースオブジェクトに列挙可能な__proto__プロパティが含まれている場合は、標準のObject.prototypeを拡張できる可能性があります。

検出

FreeBSD：Django -- AdminURLFieldWidget XSS（ffc73e87-87f0-11e9-ad56-fcaa147e860e）

medium Nessus プラグイン ID 125750

バージョン 1.3