La Django Software Foundation ha publicado nuevas
versiones de las ramas Django 1.9 y 1.8 de Django, que solucionan una
vulnerabilidad que podría permitir construir ataques de cross-site request
forgery.
Django es un framework de código abierto basado en Python para el desarrollo de sitios web siguiendo el patrón MVC (Modelo-Vista-Controlador). Fue publicado por primera vez en 2005, y desde entonces su uso ha experimentado un considerable crecimiento entre los desarrolladores. Se compone de una serie de herramientas para facilitar la creación de páginas Web, siguiendo las directrices 'DRY' (Do not repeat yourself – No se repita) evitando redundancias de código y consecuentemente reduciendo tiempo y esfuerzo.
Detalle e impacto de la vulnerabilidad
- La vulnerabilidad, identificada como CVE-2016-7401, reside en la interacción entre Google Analytics y el tratamiento de cookies de Django y podría permitir a un atacante configurar cookies arbitrarias que pueden permitir evitar las protecciones CSRF (Cross-Site Request Forgery). Evidentemente solo se ven afectados los sitios que hagan uso de Google Analytics.
Django Software Foundation ha publicado las versiones
Django 1.9.10 y 1.8.15 de Django que solucionan la vulnerabilidad. Las
actualizaciones están disponibles a través del repositorio PyPi o la página
oficial de Django.
- Django 1.9.10 https://www.djangoproject.com/m/releases/1.9/Django-1.9.10.tar.gz
- Django 1.8.15 https://www.djangoproject.com/m/releases/1.8/Django-1.8.15.tar.gz
- Django security releases issued: 1.9.10 and 1.8.15 https://www.djangoproject.com/weblog/2016/sep/26/security-releases/