CVE-2011-4104
WysokieStreszczenie
Metoda from_yaml w pliku serializers.py w Django Tastypie przed wersją 0.9.10 nieprawidłowo deserializuje dane YAML, co pozwala zdalnym atakującym na wykonanie dowolnego kodu Python.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego wykonania kodu, co może prowadzić do poważnych naruszeń bezpieczeństwa w aplikacji.
Rekomendacja
Zaleca się aktualizację Django Tastypie do wersji 0.9.10 lub nowszej, aby usunąć tę podatność.
Inne podatności w Django Tastypie
Zobacz wszystkie- CVE-2026-16208Średnie
W django-tastypie do wersji 0.15.1 w funkcji CacheThrottle/CacheDBThrottle w pliku tastypie/throttle.py występuje podatność typu race condition. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2026-16207Niskie
W bibliotece django-tastypie do wersji 0.15.1 wykryto podatność w funkcji ApiKeyAuthentication w pliku tastypie/authentication.py. Problem polega na używaniu metody GET z wrażliwymi danymi w zapytaniach, co może prowadzić do wycieku kluczy API. Atak jest zdalny, ale charakteryzuje się wysoką złożonością i jest trudny do wykorzystania.
Oryginalny opis (angielski, źródło NVD)
The from_yaml method in serializers.py in Django Tastypie before 0.9.10 does not properly deserialize YAML data, which allows remote attackers to execute arbitrary Python code via vectors related to the yaml.load method.