Vulnerabilidad en el código de análisis de cookie en Django (CVE-2016-7401)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-254
Características de seguridad
Fecha de publicación:
03/10/2016
Última modificación:
12/04/2025
Descripción
El código de análisis de cookie en Django en versiones anteriores a 1.8.15 y 1.9.x en versiones anteriores a 1.9.10, cuando se utiliza en un sitio con Google Analytics, permite a atacantes remotos eludir un mecanismo de protección CSRF destinado estableciendo cookies arbitrarias.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:o:canonical:ubuntu_linux:12.04:*:*:*:lts:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:14.04:*:*:*:lts:*:*:* | ||
| cpe:2.3:o:canonical:ubuntu_linux:16.04:*:*:*:lts:*:*:* | ||
| cpe:2.3:a:djangoproject:django:*:*:*:*:*:*:*:* | 1.8.14 (incluyendo) | |
| cpe:2.3:a:djangoproject:django:1.9.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:djangoproject:django:1.9.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:djangoproject:django:1.9.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:djangoproject:django:1.9.3:*:*:*:*:*:*:* | ||
| cpe:2.3:a:djangoproject:django:1.9.4:*:*:*:*:*:*:* | ||
| cpe:2.3:a:djangoproject:django:1.9.5:*:*:*:*:*:*:* | ||
| cpe:2.3:a:djangoproject:django:1.9.6:*:*:*:*:*:*:* | ||
| cpe:2.3:a:djangoproject:django:1.9.7:*:*:*:*:*:*:* | ||
| cpe:2.3:a:djangoproject:django:1.9.8:*:*:*:*:*:*:* | ||
| cpe:2.3:a:djangoproject:django:1.9.9:*:*:*:*:*:*:* | ||
| cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://rhn.redhat.com/errata/RHSA-2016-2038.html
- http://rhn.redhat.com/errata/RHSA-2016-2039.html
- http://rhn.redhat.com/errata/RHSA-2016-2040.html
- http://rhn.redhat.com/errata/RHSA-2016-2041.html
- http://rhn.redhat.com/errata/RHSA-2016-2042.html
- http://rhn.redhat.com/errata/RHSA-2016-2043.html
- http://www.debian.org/security/2016/dsa-3678
- http://www.securityfocus.com/bid/93182
- http://www.securitytracker.com/id/1036899
- http://www.ubuntu.com/usn/USN-3089-1
- https://www.djangoproject.com/weblog/2016/sep/26/security-releases/
- http://rhn.redhat.com/errata/RHSA-2016-2038.html
- http://rhn.redhat.com/errata/RHSA-2016-2039.html
- http://rhn.redhat.com/errata/RHSA-2016-2040.html
- http://rhn.redhat.com/errata/RHSA-2016-2041.html
- http://rhn.redhat.com/errata/RHSA-2016-2042.html
- http://rhn.redhat.com/errata/RHSA-2016-2043.html
- http://www.debian.org/security/2016/dsa-3678
- http://www.securityfocus.com/bid/93182
- http://www.securitytracker.com/id/1036899
- http://www.ubuntu.com/usn/USN-3089-1
- https://www.djangoproject.com/weblog/2016/sep/26/security-releases/



