CVSS: 5.0EPSS: 10%CPEs: 18EXPL: 1CVE-2015-0221
https://notcve.org/view.php?id=CVE-2015-0221
The django.views.static.serve view in Django before 1.4.18, 1.6.x before 1.6.10, and 1.7.x before 1.7.3 reads files an entire line at a time, which allows remote attackers to cause a denial of service (memory consumption) via a long line in a file. La visualización django.views.static.serve en Django anterior a 1.4.18, 1.6.x anterior a 1.6.10, y 1.7.x anterior a 1.7.3 lee ficheros por líneas enteras, lo que permite a atacantes remotos causar una denegación de servicio (consumo de memoria) a través de una línea larga en un fichero. • http://advisories.mageia.org/MGASA-2015-0026.html http://lists.fedoraproject.org/pipermail/package-announce/2015-January/148485.html http://lists.fedoraproject.org/pipermail/package-announce/2015-January/148608.html http://lists.fedoraproject.org/pipermail/package-announce/2015-January/148696.html http://lists.opensuse.org/opensuse-updates/2015-04/msg00001.html http://lists.opensuse.org/opensuse-updates/2015-09/msg00035.html http://secunia.com/advisories/62285 http://secunia.com/advisories/62309 http:&#x • CWE-399: Resource Management Errors •
CVSS: 5.0EPSS: 2%CPEs: 18EXPL: 0CVE-2015-0222
https://notcve.org/view.php?id=CVE-2015-0222
ModelMultipleChoiceField in Django 1.6.x before 1.6.10 and 1.7.x before 1.7.3, when show_hidden_initial is set to True, allows remote attackers to cause a denial of service by submitting duplicate values, which triggers a large number of SQL queries. ModelMultipleChoiceField en Django 1.6.x anterior a 1.6.10 y 1.7.x anterior a 1.7.3, cuando show_hidden_initial está configurado a 'True', permite a atacantes remotos causar una denegación de servicio mediante la presentación de valores duplicados, lo que provoca un número grande de consultas SQL. • http://advisories.mageia.org/MGASA-2015-0026.html http://lists.fedoraproject.org/pipermail/package-announce/2015-January/148485.html http://lists.fedoraproject.org/pipermail/package-announce/2015-January/148608.html http://lists.fedoraproject.org/pipermail/package-announce/2015-January/148696.html http://lists.opensuse.org/opensuse-updates/2015-04/msg00001.html http://lists.opensuse.org/opensuse-updates/2015-09/msg00035.html http://secunia.com/advisories/62285 http://secunia.com/advisories/62309 http:&#x • CWE-17: DEPRECATED: Code •
CVSS: 5.8EPSS: 0%CPEs: 42EXPL: 0CVE-2014-0480
https://notcve.org/view.php?id=CVE-2014-0480
The core.urlresolvers.reverse function in Django before 1.4.14, 1.5.x before 1.5.9, 1.6.x before 1.6.6, and 1.7 before release candidate 3 does not properly validate URLs, which allows remote attackers to conduct phishing attacks via a // (slash slash) in a URL, which triggers a scheme-relative URL to be generated. La función core.urlresolvers.reverse en Django anterior a 1.4.14, 1.5.x anterior a 1.5.9, 1.6.x anterior a 1.6.6, y 1.7 anterior a release candidate 3 no valida debidamente las URLs, lo que permite a atacantes remotos realizar ataques de phishing a través de un // (barra barra) en una URL, lo que provoca que se genere una URL relacionada con esquemas. • http://lists.opensuse.org/opensuse-updates/2014-09/msg00023.html http://secunia.com/advisories/59782 http://secunia.com/advisories/61276 http://secunia.com/advisories/61281 http://www.debian.org/security/2014/dsa-3010 http://www.securityfocus.com/bid/69425 https://www.djangoproject.com/weblog/2014/aug/20/security • CWE-20: Improper Input Validation •
CVSS: 4.3EPSS: 2%CPEs: 43EXPL: 0CVE-2014-0481
https://notcve.org/view.php?id=CVE-2014-0481
The default configuration for the file upload handling system in Django before 1.4.14, 1.5.x before 1.5.9, 1.6.x before 1.6.6, and 1.7 before release candidate 3 uses a sequential file name generation process when a file with a conflicting name is uploaded, which allows remote attackers to cause a denial of service (CPU consumption) by unloading a multiple files with the same name. La configuración por defecto para el sistema del manejo de la subida de ficheros en Django anterior a 1.4.14, 1.5.x anterior a 1.5.9, 1.6.x anterior a 1.6.6, y 1.7 anterior a release candidate 3 utiliza un proceso de la generación de nombres de ficheros secuencial cuando se sube un fichero con un nombre en conflicto, lo que permite a atacantes remotos causar una denegación de servicio (consumo de CPU) mediante la descarga de múltiples ficheros con el mismo nombre. • http://lists.opensuse.org/opensuse-updates/2014-09/msg00023.html http://secunia.com/advisories/59782 http://secunia.com/advisories/61276 http://secunia.com/advisories/61281 http://www.debian.org/security/2014/dsa-3010 https://www.djangoproject.com/weblog/2014/aug/20/security • CWE-399: Resource Management Errors •
CVSS: 6.0EPSS: 0%CPEs: 42EXPL: 0CVE-2014-0482
https://notcve.org/view.php?id=CVE-2014-0482
The contrib.auth.middleware.RemoteUserMiddleware middleware in Django before 1.4.14, 1.5.x before 1.5.9, 1.6.x before 1.6.6, and 1.7 before release candidate 3, when using the contrib.auth.backends.RemoteUserBackend backend, allows remote authenticated users to hijack web sessions via vectors related to the REMOTE_USER header. El middleware contrib.auth.middleware.RemoteUserMiddleware en Django anterior a 1.4.14, 1.5.x anterior a 1.5.9, 1.6.x anterior a 1.6.6, y 1.7 anterior a release candidate 3, cuando utiliza el backend contrib.auth.backends.RemoteUserBackend, permite a usuarios remotos autenticados secuestrar sesiones web a través de vectores relacionados con la cabecera REMOTE_USER. • http://lists.opensuse.org/opensuse-updates/2014-09/msg00023.html http://secunia.com/advisories/59782 http://secunia.com/advisories/61276 http://secunia.com/advisories/61281 http://www.debian.org/security/2014/dsa-3010 https://www.djangoproject.com/weblog/2014/aug/20/security • CWE-287: Improper Authentication •