Djangoリリースノート：

CVE-2019-14232:django.utils.text.Truncatorでのサービス拒否の可能性

django.utils.text.Truncatorのchars()およびwords()メソッドにhtml=True引数が渡されると、正規表現の壊滅的なバックトラッキングの脆弱性が原因で、これらのメソッドによる特定の入力の評価に非常に長い時間がかかります。chars()およびword()メソッドは、truncatechars_htmlおよびtruncatewords_htmlテンプレートフィルターを実装するために使用されますが、これらのフィルターが脆弱でした。

潜在的なバックトラッキングの問題を回避するために、Truncatorが使用する正規表現が簡素化されました。その結果、切り捨てられた出力に末尾の句読点が含まれることがあります。

CVE-2019-14233:strip_tags（）でのサービス拒否の可能性

下層にあるHTMLParserの動作が原因で、django.utils.html.strip_tags（）による、ネスト化された不完全なHTMLエンティティの大きなシーケンスを含む特定の入力の評価に、非常に時間がかかります。strip_tags()メソッドは、対応するstriptagsテンプレートフィルターを実装するために使用されますが、このフィルターも脆弱でした。

strip_tags()は、タグの削除が進行中の場合にHTMLParserの再帰呼び出しを回避するようになりましたが、HTMLエンティティは不完全である必要があり、停止が実行されます。

strip_tags()の結果がHTMLセーフであることは一切保証されない点に注意してください。したがって、strip_tags()呼び出しの結果を、最初にdjango.utils.html.escape()などでエスケープすることなく、安全としてマークしないでください。

CVE-2019-14234:JSONField/HStoreFieldのキーおよびインデックス検索でのSQLインジェクションの可能性

JSONFieldのキーおよびインデックス検索とHStoreFieldのキー検索は、**kwargsとしてQuerySet.filter()に渡される、ディクショナリ拡張により適切に細工されたディクショナリを使用したSQLインジェクションの影響を受けます。

CVE-2019-14235:django.utils.encoding.uri_to_iri()でのメモリ枯渇の可能性

django.utils.encoding.uri_to_iri()に特定の入力が渡されると、無効なUTF-8オクテットシーケンスの再パーセントエンコーディング時に、過剰な再帰が原因で大量のメモリが使用される可能性があります。

uri_to_iri()では、無効なUTF-8オクテットシーケンスの再パーセントエンコーディング時に再帰が回避されるようになりました。

検出

FreeBSD：Django -- 複数の脆弱性（6e65dfea-b614-11e9-a3a2-1506e15611cc）

critical Nessus プラグイン ID 127547

バージョン 1.5