marazmiki Sep 10 2010 at 01:00

Релиз Django 1.2.2 — security-обновление

2 min

946

Django*

+22

Comments 16

UFO just landed and posted this here

Slon7 Sep 10 2010 at 08:48

Судя по кол-ву тикетов на 1.3 до 2.0 там еще очень далеко

rybnadzorro Sep 10 2010 at 09:23

И так сделано достаточно много и хорошо. Чего вы ждёте от второй версии?

UFO just landed and posted this here

zerkms Sep 10 2010 at 07:51

«позволяющие злоумышленникам устраивать XSS-атаки»
кто-нибудь сможет привести пример, когда модификация своей куки позволит провести атаку на кого-нибудь, кроме себя?

cblp Sep 10 2010 at 08:50

Какой-нибудь злой скрипт на стороне пользователя может отправить такую куку на сервер. Таким образом, пользователь получит злой код уже не от злого скрипта, а от благонадёжного сервера.

Хотя я не знаю, насколько реалистична такая угроза, но суть данной новости в том, что дыры надо закрывать, даже если они не критические. Комбинация нескольких некритических дыр может создать критическую уязвимость.

zerkms Sep 10 2010 at 09:04

Правильно, но он получит скрипт только в случае, если у него кука модифицирована. Если у злоумышленника дотянулись руки до пользовательских кук — то уже всё что можно на клиенте доступно и так.

VolCh Sep 10 2010 at 09:57

Как мне видится возможный сценарий:
— как-то внедрили скрипт, модифицирующий куку на страницу, например, товара (публичная торговая площадка, скажем, не без экранирования описания товара) — там сам по себе он никаких пользовательских данных собрать не может, лишь потому, что их там нет
— при переходе на страницу с формой оплаты изменяем action на свой и получаем, например, данные кредитки