CVE-2016-9013
KrytyczneStreszczenie
Django w wersjach 1.8.x przed 1.8.16, 1.9.x przed 1.9.11 oraz 1.10.x przed 1.10.3 używa twardo zakodowanego hasła dla tymczasowego użytkownika bazy danych, co ułatwia zdalnym atakującym uzyskanie dostępu do serwera bazy danych.
Ocena ryzyka
Brak ręcznego określenia hasła w ustawieniach bazy danych TEST może prowadzić do nieautoryzowanego dostępu do bazy danych, co stwarza poważne zagrożenie dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację Django do najnowszej wersji oraz ręczne skonfigurowanie hasła dla użytkownika bazy danych w ustawieniach TEST.
Oryginalny opis (angielski, źródło NVD)
Django 1.8.x before 1.8.16, 1.9.x before 1.9.11, and 1.10.x before 1.10.3 use a hardcoded password for a temporary database user created when running tests with an Oracle database, which makes it easier for remote attackers to obtain access to the database server by leveraging failure to manually specify a password in the database settings TEST dictionary.