Django releaseによる報告: 

CVE-2019-19118:Django管理者の権限昇格。

Django 2.1以降、Djangoモデル管理者は親モデルを関連モデルインラインで表示します。ユーザーは親モデルに対しては表示のみが許可され、インラインモデルに対しては編集が許可されるため、親モデルの読み取り専用ビューとインラインの編集可能なフォームが表示されます。

これらのフォームを送信すると、親モデルを直接編集できなくなりますが、親モデルのsave()メソッドがトリガーされ、保存前および保存後のシグナルハンドラーが呼び出されます。これは権限昇格です。モデルの編集が許可されていないユーザーは、保存関連のシグナルをトリガーできません。

検出

FreeBSD：Django -- 複数の脆弱性（4e3fa78b-1577-11ea-b66e-080027bdabe8）

medium Nessus プラグイン ID 131470

変更ログが見つかりません