python-django に複数の脆弱性が見つかり、修正されました：

Django 1.1.4 より前の 1.1.x および 1.2.5 より前の 1.2.x は、X-Requested-With ヘッダーを含む HTTP リクエストを適切に検証しないため、リモートの攻撃者は、ブラウザプラグインとリダイレクトの組み合わせを利用する偽造された AJAX リクエストを介してクロスサイトリクエスト偽造（CSRF）攻撃を容易に行うことができます。この問題は CVE-2011-0447 に関連します（CVE-2011-0696）。

Django 1.1.4 より前の 1.1.x および 1.2.5 より前の 1.2.x におけるクロスサイトスクリプティング（XSS）の脆弱性により、リモートの攻撃者が、ファイルアップロードに関連したファイル名を介して任意の Web スクリプトまたは HTML を注入する可能性があります（CVE-2011-0697）。

Windows 版 Django 1.1.4 より前の 1.1.x および 1.2.5 より前の 1.2.x におけるディレクトリトラバーサルの脆弱性により、リモートの攻撃者はセッションリプレーに関連するセッションクッキー鍵の / （スラッシュ）文字を介してファイルを読み取る、あるいは実行する可能性があります（CVE-2011-0698）。

更新済みパッケージが、これらの問題に対して脆弱でない 1.1.4 バージョンにアップグレードされています。

検出

Mandriva Linux セキュリティアドバイザリ：python-django（MDVSA-2011: 031）

high Nessus プラグイン ID 52036

変更ログが見つかりません