Django プロジェクトによる報告：

Django 1.8 において、cached_db セッションバックエンドでの session.flush() への変更では、セッションキーを None ではなく空の文字列に間違って設定しています。空の文字列は有効なセッションキーとして扱われ、それに応じてセッションクッキーが設定されます。自分のセッションクッキーに空の文字列があるユーザーは、同じセッションストアを使用します。ユーザーがアカウントを切り替えると、session.flush() は django.contrib.auth.logout() に、そしてより重大なことに、django.contrib.auth.login() により呼び出されます。ユーザーがログインし、さらに（ログアウトせずに）別のアカウントにもう一度ログインすると、セッションは再利用を防ぐためにフラッシュされます。セッションがフラッシュされる（そしてそのセッションキーが '' になる）と、アカウントの詳細がセッションに設定され、セッションは保存されます。今では、自分のセッションクッキーに空の文字列があるユーザーは、そのアカウントにログインすることになります。

この問題を報告してくれた Sam Cooke 氏に感謝の意を表します。

検出

FreeBSD：django -- cached_db backend でのセッションのフラッシングを修正しました（48504af7-07ad-11e5-879c-00e0814cab4e）

medium Nessus プラグイン ID 83909

依存が見つかりません